كل ما يستحق المعرفة، ولا شيء مما لا يستحقها.
كيف يتم تنفيذ الهجوم فعلياً
يبدأ المهاجم بجمع معلومات شخصية كافية لاجتياز فحص الهوية الذي يجريه فريق حماية البيانات، وغالبًا ما يكون ذلك من خلال تسريب بيانات أو صفحة تصيد احتيالي. ثم يتصل بمزود الخدمة مدعيًا فقدان أو تلف هاتفه، ويطلب نقل رقمه أو استبدال SIM. بمجرد اكتمال عملية الاستبدال، يفقد هاتف الضحية الخدمة دون أي تنبيه، وتُحوّل جميع SMS والمكالمات الصوتية إلى المهاجم. وتتبع ذلك عمليات إعادة تعيين كلمة المرور، OTP التحقق من الحساب البنكي، ورموز استعادة الحساب في غضون دقائق. عادةً ما تكون أول إشارة للضحية هي توقف هاتفه عن العمل، وفي ذلك الوقت يكون المال قد تم تحويله بالفعل.
لماذا لا يزال إرسال OTP SMS يستحق العناء؟
لا يكمن الدرس في أن OTP SMS عديم الفائدة - فهو يصل إلى أي هاتف في أي سوق دون الحاجة إلى تثبيت أي تطبيق، وهو ما لا تفعله أي وسيلة أخرى. يكمن الدرس في أنه يتحقق من رقم الهاتف، وليس من هوية الشخص، وأن الرقم قابل للتداول. لذا، تعامل معه كعامل واحد من بين عدة عوامل لأي عملية اختراق لا رجعة فيها، وقم بربطه بإشارة لا يستطيع المهاجم نقلها مع SIM.
الدفاع: تحقق من السطر، وليس فقط من الكود
يُسجّل استبدال شريحة SIM في سجلات المشغّل. يُظهر استعلام البحث عن الرقم أو استعلام HLR تاريخ آخر تغيير SIM وما إذا كان الرقم قد نُقل مؤخرًا. إذا تم تغيير SIM الخاصة بالمشترك قبل أربع ساعات، وكان يُعيد تعيين كلمة المرور الآن، فهذه عملية مصادقة مُعززة، وليست تسجيل دخول عادي. يمكن لمزودي الخدمة المباشرين للمشغّل قراءة هذه المعلومات لأنهم على صلة مباشرة بالمشغّل؛ بينما لا يستطيع الموزعون الذين يقعون على بُعد عدة خطوات عادةً القيام بذلك.
ما يجب فعله عملياً
استعلم عن حالة تبديل الخط ونقله قبل إرسال OTP لإجراءات ذات قيمة عالية. طبّق فترة انتظار - حيث ترفض العديد من البنوك إعادة تعيين كلمة المرور لمدة تتراوح بين 24 و72 ساعة بعد اكتشاف تبديل الخط. قدّم المصادقة عبر التطبيق أو رمز المرور كعامل أساسي للمعاملات عالية المخاطر، واحتفظ SMS كخيار احتياطي فعال في حال فقدان الهاتف. أبلغ العميل عبر قناة ثانية، مثل البريد الإلكتروني، عند تغيير SIM المرتبطة بحسابه.