مفاتيح المرور نجحت — فلماذا ما زالت الحسابات تُسرَق؟

خمسة مليارات مفتاح مرور (Passkey) نشط حول العالم. تسعون بالمئة من المستخدمين يعرفون ما هي، وثلاثة أرباعهم فعّلوا واحداً على الأقل. نصف أكبر مئة موقع في العالم يدعمها اليوم — ضعف ما كان عليه الرقم قبل أربع سنوات.

ومع ذلك، ما زالت الحسابات تُخترَق بنفس الطرق القديمة تقريباً.

هذا ليس تناقضاً، بل نتيجة منطقية لخطأ في القياس: نحن نقيس نجاح مفاتيح المرور بعدد من سجّلوها، بينما الأمان الحقيقي لا يُقاس بأقوى طريقة دخول في الحساب، بل بأضعف طريقة استرداد فيه. وهذه هي القصة التي لا تظهر في أي لوحة معلومات.

الأرقام أولاً: أين وصلنا فعلاً؟

مفاتيح المرور نجحت — فلماذا ما زالت الحسابات تُسرَق؟ — تريندات تقنية

بيانات 2026 تعطي صورة متفائلة عند النظرة الأولى:

5 مليارات مفتاح مرور نشط، و49% من المستخدمين يستخدمونها «كلما أمكن» أو «في أغلب الأحيان».
68% من المؤسسات إما نشرتها لموظفيها أو في مرحلة تجريب أو طرح تدريجي.
من ناحية المنصّات، الجاهزية شبه كاملة: أندرويد 97%، iOS 94%، macOS 91%، ويندوز 90%.
وبيانات جوجل تشير إلى أن معدّل نجاح تسجيل الدخول بمفتاح المرور أعلى بأربعة أضعاف وأسرع بالضعف مقارنة بكلمة المرور.

ثم يأتي الرقم الذي يفسد الاحتفال: 57% من المؤسسات ما زالت تعتمد على وسيلة قابلة للتصيّد كطريقة الدخول الأساسية. التبنّي وصل، أما الانتقال فلم يكتمل.

السقف الذي لا يرتفع

القاعدة التي تُختصر فيها المشكلة كلها بسيطة، ومزعجة:

أمان الحساب لا يساوي أقوى وسيلة مصادقة فيه، بل أضعف وسيلة يمكن بها الوصول إليه.

لو كان الحساب يملك مفتاح مرور ممتازاً، وإلى جانبه كلمة مرور قديمة «للطوارئ»، فسقف أمان هذا الحساب هو كلمة المرور — لا المفتاح. المستخدم لا يستعمل الوسيلة القديمة أبداً، لكن المهاجم يستعملها. مايكروسوفت تسمّي هذه الحالة «بيانات الاعتماد الخاملة» (Dormant Credentials): موجودة، منسيّة، ومفتوحة.

وهنا يظهر ما يسمّى هجوم خفض المستوى (Downgrade Attack). المهاجم لا يحاول كسر التعمية — وهي مهمة شبه مستحيلة — بل يبحث ببساطة عن الزر المكتوب عليه «جرّب طريقة أخرى». إن قاد ذلك الزر إلى رسالة SMS أو رمز بريد إلكتروني، فكل الجهد الذي بُذل في نشر مفاتيح المرور ذهب هباءً في نقرة واحدة.

لماذا انتقل المهاجمون إلى الاسترداد؟

المؤشّر الأوضح على أن التعمية نفسها تعمل هو أن المهاجمين توقّفوا عن مهاجمتها. منذ منتصف 2026، انتقل الثقل إلى مسارين: تدفّقات الاسترداد، والجلسات بعد تسجيل الدخول.

ومسار الاسترداد مغرٍ تحديداً لأنه مصمَّم — بحكم تعريفه — ليعمل عندما تفشل الوسيلة القوية. أي أنه الباب الذي بُني ليُفتح حين يُغلق الباب الرئيسي.

في المؤسسات، يعني ذلك عادةً مكالمة مع مكتب المساعدة وأسئلة تحقّق شخصية. وهذه الأسئلة مبنية على معلومات موجودة أصلاً في وسائل التواصل أو في تسريبات بيانات سابقة — وفي زمن التزييف الصوتي العميق لم تعد «تحقّقاً» بأي معنى جادّ. الموظّف المسافر الذي نسي مفتاحه الأمني، ووكيل الدعم الذي يتساهل «مرّة واحدة فقط»، كفيلان بإسقاط مشروع نشر استغرق عاماً.

أشكال الاختراق التي لا تحتاج برمجية خبيثة أصلاً

المسار	كيف يعمل	ما الذي يوقفه
تصيّد التسجيل	إقناع المستخدم بتسجيل مفتاح يخصّ المهاجم	التحقّق من الهوية قبل التسجيل
الاستيلاء على مكتب المساعدة	هندسة اجتماعية على وكيل الدعم	تحقّق حضوري أو رمز استرداد مُسبق
الاسترداد عبر SMS	انتحال شريحة الهاتف	إزالة SMS من مسارات الاسترداد
بيانات الاعتماد المؤقتة	استغلال كلمة مرور مؤقتة واسعة الصلاحية	صلاحية دقائق ونطاق محدود
إعادة تعيين عبر البريد	السيطرة على صندوق البريد ثم «فقدت مفتاحي»	فصل الاسترداد عن قناة البريد

ولا يقتصر الأمر على المسارات البشرية: أظهر باحثو Unit 42 أن برمجية خبيثة على جهاز مخترَق يمكنها إساءة استخدام تدفّقات التسجيل والاسترداد وثقة الجهاز لتصادق بلا تفاعل من المستخدم، وتتجاوز التحقّق منه، بل وتستخرج المفاتيح الخاصة المُزامَنة. أي أن الجهاز المخترَق يبقى الجهاز المخترَق، مهما كانت وسيلة الدخول.

القيد التصميمي الذي يغيّر كل شيء

من بين كل التوصيات المتداولة، هناك مبدأ واحد يستحقّ أن يُعلَّق على الحائط:

الاسترداد يجب أن يُنشئ بيانات اعتماد جديدة ويوثّقها، لا أن يحاول استعادة القديمة.

الفرق ليس لفظياً. «استعادة» المفتاح القديم تعني بالضرورة وجود قناة جانبية تعيد الوصول بناءً على شيء يعرفه المستخدم أو يملكه — وهذه القناة هي الثغرة نفسها. أما إعادة التسجيل الموثّق فتعني أن الحساب يمرّ بعملية إثبات هوية حقيقية، ثم يُولَّد مفتاح جديد، ويُلغى القديم. لا باب خلفي، لأنه لا يوجد شيء يُستعاد أصلاً.

خطوات عملية للفرق التقنية

ابدأ بجرد الوسائل الخاملة، لا بمعدّل التسجيل. اسأل: كم حساباً يملك مفتاح مرور وكلمة مرور نشطة في الوقت نفسه؟ هذا رقمك الحقيقي.
سجّل بديلاً قوياً قبل إزالة القديم — مفتاحان على الأقل (الهاتف ومفتاح عتادي)، ثم احذف الوسيلة الضعيفة، لا قبل ذلك.
تتبّع زر «جرّب طريقة أخرى» بنفسك في الواجهة، خطوة بخطوة، حتى نهايته. كثير من التسريبات تحدث في مسار لم يفتحه أحد من الفريق منذ سنتين.
افحص إعادة تعيين كلمة المرور تحديداً: إن كانت تتجاوز المصادقة متعدّدة العوامل، فهي ليست استرداداً بل تجاوزاً كاملاً للنظام.
ميّز بين التسجيل والاستخدام الفعلي في قياساتك. معدّل «فعّلوا مفتاحاً» يبالغ دائماً في تقدير الواقع؛ الرقم المفيد هو نسبة تسجيلات الدخول التي تمّت فعلاً بمفتاح مرور.

العقبة الثانية: مَن يبني هذا كله؟

بيانات 2026 تكشف فجوة تنفيذية صريحة: 51% من المؤسسات تعتمد على مطوّرين ذوي خبرة محدودة في المصادقة لبناء أنظمة هوية العملاء، وأقلّ من الثلث (28%) لديهم مهندسون متخصّصون في هذا المجال. و47% يواجهون صعوبة في تحديث أنظمة قديمة، و46% أجّلوا مشاريع الهوية لصالح أولويات أخرى.

بعبارة أوضح: المشكلة لم تعد إقناع المستخدمين — فقد اقتنعوا. المشكلة أن البنية التحتية التي يُفترض أن تستقبل هذا التحوّل غير جاهزة للتعامل مع أصعب جزء فيه، وهو الاسترداد والحالات الاستثنائية.

هل تُحلّ مشكلة الحبس داخل المنصّات؟

الشكوى الأكثر تكراراً بين المستخدمين أن المفتاح المُنشأ على جهاز آبل يعيش في نظام آبل، وما يُنشأ على أندرويد يبقى عند جوجل. وهذا يدفع الناس للاحتفاظ بكلمة المرور القديمة «تحسّباً» — وهو بالضبط ما يعيدنا إلى مشكلة الوسائل الخاملة.

الحلّ قادم عبر معياري تبادل بيانات الاعتماد: CXF لصيغة البيانات، وCXP لنقلها بتعمية طرفية. الصيغة اعتُمدت رسمياً، والمنصّات سبقت المعيار في التنفيذ: iOS 26 يدعم النقل المُعمّى طرفياً، وأندرويد أضاف الدعم عبر تحديث خدمات جوجل. القفل بدأ ينفتح، لكن ببطء وبتفاوت بين المنصّات.

أسئلة شائعة

هل تعني هذه المخاطر أن مفاتيح المرور ليست أفضل من كلمات المرور؟

لا، والعكس هو الصحيح. أن يضطرّ المهاجمون لمهاجمة الاسترداد بدل المصادقة نفسها هو دليل على أن الجزء الأصعب نجح. مفاتيح المرور تلغي فئة كاملة من الهجمات (التصيّد، إعادة استخدام كلمات المرور، حشو بيانات الاعتماد). لكنها لا تؤمّن ما حولها تلقائياً.

ما أول ما يجب فعله في تطبيق يدعم مفاتيح المرور بالفعل؟

راجع مسار «نسيت / فقدت مفتاحي». إن كان ينتهي برسالة SMS أو رمز بريد إلكتروني، فأنت تملك واجهة بلا تصيّد وباباً خلفياً قابلاً للتصيّد بالكامل. إصلاح هذا المسار الواحد يقدّم أمانك أكثر من مضاعفة عدد المسجّلين.

هل يمكن الاستغناء عن كلمة المرور نهائياً اليوم؟

تقنياً نعم، وعملياً هذا ما تتجه إليه المنصّات الكبرى بجداول زمنية معلنة. لكن حذف كلمة المرور بلا مسار استرداد قوي يحوّل كل جهاز ضائع إلى حساب ضائع. الترتيب الصحيح: ابنِ استرداداً قوياً أولاً، ثم احذف الوسيلة الضعيفة — لا العكس.

الخلاصة

مفاتيح المرور نجحت في ما وُعدت به: جعلت سرقة بيانات الدخول بالتصيّد شبه مستحيلة. والدليل أن المهاجمين تركوها وذهبوا إلى مكان آخر.

لكن المكان الآخر هو الجزء الذي بنيناه على عجل ونسيناه: الاسترداد، والوسائل الاحتياطية الخاملة، وزرّ «جرّب طريقة أخرى». ما دام هذا الباب مفتوحاً، فعدد المفاتيح المسجّلة مجرّد رقم جميل في تقرير، لا مؤشّر أمان.

القياس الصحيح ليس «كم مستخدماً سجّل مفتاحاً؟»، بل: ما أضعف طريق يوصل إلى هذا الحساب اليوم؟ الإجابة عن هذا السؤال وحدها هي مستوى أمانك الفعلي.

#مفاتيح المرور #الأمن السيبراني #المصادقة #تسجيل الدخول #هوية المستخدم