المستخدم مدخل الهجوم.. كيف تستغل الهندسة الاجتماعية للاستيلاء على حسابات واتساب؟
تلفزيون سوريا: الثلاثاء, 18 آب 2026 الساعة 4 مساءً
عندما نسمع عبارة "اختراق واتساب"، قد يتبادر إلى الذهن أن المهاجم نجح في كسر تشفير التطبيق أو اختراق خوادمه والوصول مباشرة إلى المحادثات. لكن كثيراً من محاولات الاستيلاء على الحسابات تسلك طريقاً مختلفاً تماماً: بدلاً من مهاجمة النظام، يحاول المهاجم إقناع المستخدم نفسه بمنحه ما يحتاج إليه من صلاحيات أو رموز.
وهنا تظهر خطورة "الهندسة الاجتماعية" (Social Engineering)، التي تقوم على استغلال الثقة أو الخوف أو الاستعجال أو الفضول لدفع الشخص إلى اتخاذ إجراء يصب في مصلحة المهاجم، كإرسال رمز تحقق، أو ربط جهاز جديد بالحساب، أو فتح رابط مزيف، أو التعامل مع شخص ينتحل صفة جهة موثوقة.
ويوفر واتساب تشفيراً بين الطرفين بصورة افتراضية للرسائل والمكالمات الشخصية، لكن هذا التشفير لا يلغي الخطر الناتج عن خداع المستخدم وإقناعه بمنح جهاز آخر صلاحية الوصول إلى حسابه.
هل "اختراق واتساب" يعني دائماً كسر التشفير؟
من المهم تقنياً التمييز بين اختراق البنية الأمنية للتطبيق وبين الاستيلاء على حساب مستخدم.
في السيناريو الأول، يستهدف المهاجم ثغرة برمجية أو الجهاز نفسه أو أحد المكونات التقنية. أما في الهندسة الاجتماعية، فلا يحتاج المهاجم بالضرورة إلى كسر التشفير أو معرفة مفاتيحه، وإنما يحاول جعل المستخدم يمنحه بصورة غير مباشرة صلاحية يحتاج إليها.
بمعنى أبسط: بدلاً من محاولة كسر الباب، يحاول المهاجم إقناع صاحب المنزل بفتحه.
وهذا التفريق مهم، لأن نجاح عملية احتيال تستهدف حساباً على واتساب لا يعني تلقائياً أن تشفير واتساب نفسه تعرض للكسر.
وفي الوقت نفسه، لا ينبغي اختزال كل المخاطر بالهندسة الاجتماعية، إذ توجد أيضاً تهديدات تقنية حقيقية، بينها البرمجيات الخبيثة التي تصيب الجهاز. وسبق أن شرحت Meta أن برمجيات خبيثة على الهاتف قد تحاول سرقة مفاتيح مصادقة واستخدامها في هجمات للاستيلاء على الحساب، وهو أحد الأسباب التي دفعت واتساب إلى تطوير ميزة "التحقق من الجهاز" (Device Verification).
ما هي الهندسة الاجتماعية؟
الهندسة الاجتماعية ليست برنامجاً أو أداة بعينها، بل مجموعة أساليب نفسية وسلوكية يستخدمها المهاجم للتأثير في قرارات الضحية.
وقد يحاول المهاجم خلق حالة من الضغط، مثل الادعاء بأن الحساب سيتوقف خلال دقائق، أو استغلال الثقة من خلال انتحال شخصية صديق أو موظف دعم فني، أو إغراء المستخدم بجائزة أو عرض أو تصويت.
وتحذر Meta من أن المحتالين يستغلون استعداد الأشخاص للمساعدة أو خوفهم من الوقوع في مشكلة، ويوصون المستخدم بالتوقف والتساؤل والتحقق قبل الاستجابة للطلبات غير المعتادة أو المستعجلة.
ولا يشترط أن تأتي محاولة الاحتيال دائماً من رقم مجهول. فقد تصل رسالة من حساب شخص تعرفه سبق أن تعرض للاستيلاء عليه، ثم يستخدمه المهاجم للوصول إلى دائرة معارفه، مستفيداً من الثقة القائمة بينهم. وقد حذرت واتساب سابقاً من هذا النمط في عمليات انتحال شخصية الأصدقاء أو أفراد العائلة.
السيناريو الأول: سرقة رمز التسجيل
من أشهر السيناريوهات أن يحاول شخص تسجيل رقم هاتف الضحية على واتساب، فيرسل النظام رمزاً مكوناً من ستة أرقام إلى صاحب الرقم، وهنا يبدأ دور الهندسة الاجتماعية.
قد يتصل شخص بالضحية ويدعي أنه من الدعم الفني، أو يرسل رسالة تتحدث عن مشكلة في الحساب، ثم يطلب الرمز بحجة "تأكيد الهوية" أو "حل المشكلة".
وقد يبدو الطلب منطقياً لشخص لا يعرف وظيفة الرمز، بينما يكون المهاجم في الواقع بانتظار الحصول عليه لاستكمال محاولة الاستيلاء على الحساب.
واتساب واضح في هذه النقطة: لا تشارك الرمز المكون من ستة أرقام مع أي شخص، كما توصي الشركة بتفعيل التحقق بخطوتين وإجراء فحص الخصوصية داخل التطبيق.
ويجب أيضاً التفريق بين رمز التسجيل الذي يصل إلى المستخدم وبين رقم التعريف الشخصي الخاص بميزة التحقق بخطوتين. كلاهما عنصر أمني حساس، ولا ينبغي تقديم أي منهما لشخص يتواصل مع المستخدم طالباً إياه.
والقاعدة الأكثر أهمية هنا بسيطة: إذا وصل إليك رمز لم تطلبه بنفسك، فوجوده لا يعني أنك بحاجة إلى إرساله إلى أحد، بل ينبغي أن يكون ذلك مؤشراً يدفعك إلى الحذر.
السيناريو الثاني: ربط جهاز المهاجم بحسابك
لا تعتمد جميع محاولات الاستيلاء على رمز التسجيل.
أصبح أحد الأساليب المهمة يتمثل في خداع المستخدم ودفعه إلى ربط جهاز آخر بحسابه على واتساب.
وقد حذرت Meta في آذار/مارس 2026 تحديداً من هذا الأسلوب، موضحة أن المحتال قد يحاول جعل الضحية تشارك رمزاً لربط جهاز أو تمسح رمز QR تحت ذريعة مختلفة، لتنتهي العملية بربط جهاز المحتال بحساب الضحية. وأعلن واتساب حينها إضافة تحذيرات تظهر عندما تشير المؤشرات السلوكية إلى أن طلب ربط الجهاز قد يكون مشبوهاً.
لهذا السبب، لا ينبغي التعامل مع رمز QR باعتباره صورة غير مؤذية لمجرد أن شكله مألوف.
رمز QR بحد ذاته ليس خطراً، وإنما السؤال هو: ما الإجراء الذي سيؤدي إليه مسحه؟
فإذا طُلب منك الانتقال إلى قسم "الأجهزة المرتبطة" في واتساب وربط جهاز لا تعرفه، فإنك لا تشارك في تصويت أو تحصل على خدمة مجانية؛ أنت تمنح جهازاً آخر صلاحية العمل ضمن حسابك.
لماذا لا يمنع التشفير هذا النوع من الهجمات؟
شرحت Meta في البنية التقنية لنظام تعدد الأجهزة في واتساب أن كل جهاز مرتبط بالحساب يحصل على جلسات تشفير خاصة به، وأن الرسائل تُشفّر بصورة منفصلة للأجهزة المصرح لها. كما أوضحت أن ربط جهاز مرافق يتضمن نقل حزمة مشفرة من سجل المحادثات الحديثة إلى الجهاز الجديد.
وبالتالي، إذا نجح المهاجم في خداع المستخدم وجعله يربط جهازاً يملكه، فإن التشفير لم يُكسر.
المشكلة أن جهاز المهاجم أصبح، نتيجة موافقة المستخدم، طرفاً مصرحاً له داخل منظومة الحساب.
وهذا فرق جوهري: التشفير يستطيع حماية الرسالة أثناء انتقالها بين الأجهزة المصرح لها، لكنه لا يستطيع أن يعرف أن صاحب الحساب تعرّض للخداع عندما وافق على إضافة جهاز جديد.
ولهذا تعد مراجعة قائمة "الأجهزة المرتبطة" بصورة دورية إجراء أمنياً أساسياً، ويمكن للمستخدم إنهاء جلسة جهاز لا يتعرف إليه. وكانت Meta قد صممت النظام بحيث يستطيع المستخدم رؤية الأجهزة المرتبطة بحسابه وإنهاء اتصالها عن بُعد.
ماذا عن المحادثات القديمة؟
هناك أيضاً فرق تقني بين محاولة تسجيل رقمك على هاتف آخر وبين خداعك لربط جهاز جديد.
يقول واتساب إنه في حال فقد المستخدم الوصول إلى حسابه، يمكنه إعادة تسجيل رقم هاتفه، وإن المحادثات السابقة الموجودة على هاتفه لا تصبح تلقائياً متاحة لشخص يحاول الوصول إلى حسابه.
لكن ربط جهاز جديد حالة مختلفة؛ فمعمارية تعدد الأجهزة تتضمن مزامنة سجل من المحادثات الحديثة بصورة مشفرة مع الجهاز المرتبط.
لذلك، فإن عبارة "استولى شخص على واتساب" ليست كافية تقنياً لفهم الحادثة. يجب أولاً معرفة كيف حدث الوصول: هل جرى الاستيلاء على تسجيل الرقم، أم أضيف جهاز غير مصرح به، أم أصيب الهاتف نفسه ببرمجية خبيثة؟
الإجابة تحدد نوع الخطر والخطوات المطلوبة لمعالجته.
السيناريو الثالث: التصيد الإلكتروني
التصيد الإلكتروني (Phishing) هو محاولة دفع المستخدم إلى التفاعل مع رسالة أو رابط أو صفحة مزيفة تبدو موثوقة.
قد تصل رسالة تقول مثلاً: "اكتشفنا نشاطاً غير طبيعي على حسابك".
أو: "يجب تأكيد حسابك خلال 10 دقائق حتى لا يتم إيقافه".
ثم يُطلب منك الضغط على رابط.
المشكلة أن الهوية البصرية ليست دليلاً كافياً على أن الرسالة حقيقية. يمكن للمحتال استخدام اسم شركة معروف أو شعار مشابه أو تصميم قريب من المواقع الأصلية.
وقد يستخدم الرابط لخداع الضحية كي تقدم معلومات شخصية أو رمزاً أمنياً، أو تثبت تطبيقاً غير موثوق، أو تبدأ عملية ربط جهاز من دون أن تدرك حقيقة ما تقوم به.
وأشارت Meta في 2026 إلى استخدام المحتالين للروابط المخادعة وانتحال النطاقات والعلامات التجارية ضمن عمليات الاحتيال، بالتوازي مع تطوير أدوات لاكتشاف هذه الأنماط.
لذلك فإن السؤال الصحيح ليس: "هل تبدو الصفحة أصلية؟"، وإنما: "لماذا وصلتني هذه الرسالة أصلاً، وما الذي يُطلب مني فعله؟".
المصدر