لسنوات عديدة، اتبعت عملية الاستيلاء على الحساب (ATO) نصًا يمكن التنبؤ به. اشترى المهاجمون بيانات الاعتماد المسروقة بكميات كبيرة، وقاموا بتشغيلها من خلال الأدوات الآلية، وانتظروا المباريات. كان حشو بيانات الاعتماد رخيصًا، وقابلاً للتطوير، وكان مفهومًا جيدًا نسبيًا بالنسبة للمدافعين.
تلك الحقبة تنتهي. ليس لأن المهاجمين استسلموا، ولكن لأن الباب الأمامي أصبح في النهاية أكثر صعوبة في الدخول.
أصبحت مفاتيح المرور الآن سائدة. وفقًا لبحث FIDO Alliance لعام 2026، قام 75% من المستهلكين العالميين بتمكين مفتاح مرور على حساب واحد على الأقل. وفي الوقت نفسه، أصبحت مفاتيح المرور أكثر شيوعًا في مكان العمل، حيث تستخدمها الآن 68% من الشركات أو تختبرها أو تقدمها لتسجيل دخول الموظفين.
مقاومة التصيد الاحتيالي، والمصادقة بدون كلمة مرور لم تعد أمرًا طموحًا، بل أصبحت هي الطريقة الافتراضية. عندما تختفي كلمة المرور، تختفي أيضًا قيمة كلمة المرور المسروقة.
فأين سيتجه الهجوم بعد ذلك؟ إنه يتحرك في اتجاه مجرى النهر، إلى اللحظات التي لا تزال فيها الأنظمة تثق في الإنسان لإثبات هويته.
تحول سطح الهجوم، ولم يتقلص
عندما تشتد تدفقات تسجيل الدخول الأساسية، لا يختفي الاحتيال. يتم نقله إلى الحلقة الأضعف المتبقية، وفي معظم البنيات، يكون هذا الرابط هو طبقة التحقق من الهوية والاسترداد.
فكر في كل تدفق يجلس حول المصادقة: استرداد الحساب، وإعادة تسجيل الجهاز، والتحقق المتزايد لمعاملة عالية القيمة، والرابط السحري الذي تم إرساله لـ “تأكيد هويتك”. وهذه هي على نحو متزايد المسارات الأقل مقاومة.
يُعد اعتراض الرابط السحري مثالًا واضحًا. إن سهولة إرسال رابط تسجيل الدخول لمرة واحدة عبر البريد الإلكتروني له جانب سلبي: إذا تمكن المهاجم من اعتراض هذا الرابط، من خلال رابط عميق للجوال لم يتم التحقق منه، أو صندوق بريد وارد مخترق، أو إعادة توجيه ممكّنة لتبديل بطاقة SIM. يمكنهم تجاوز تدفق المصادقة المقصود بالكامل.
لقد جعل الذكاء الاصطناعي انتحال الشخصية رخيصًا ومقنعًا
القوة الثانية التي تعيد تشكيل ATO هي الذكاء الاصطناعي التوليدي، الذي حول التحقق من الهوية نفسه إلى هدف.
وجد تقرير Veriff’s Identity Fraud Report لعام 2026 أن 4.18% من محاولات التحقق كانت احتيالية، وأن الوسائط المقدمة رقميًا كانت أكثر عرضة بنسبة 300% لأن يتم إنشاؤها بواسطة الذكاء الاصطناعي أو تغييرها مقارنة بالفترات السابقة. يمثل انتحال الشخصية الآن أكثر من 85% من جميع هجمات الاحتيال التي لاحظتها الشركة. لم تعد صور السيلفي المزيفة، وتدفقات الفيديو المحقونة، والمستندات الاصطناعية تقنيات هامشية. إنهم التيار الرئيسي للاحتيال على الهوية.
إن الاستنتاج الذي يستفاد منه المدافعون غير مريح ولكنه واضح: إذا كانت خطوة التحقق الخاصة بك تفترض أن الوسائط الموجودة أمامها حقيقية، فأنت تدافع ضد نموذج التهديد العام الماضي.
إلى أين يتجه دفاع ATO
يدخل الدفاع عن الاستيلاء على الحساب مرحلة جديدة. على مدى الأشهر الـ 12 إلى الـ 18 المقبلة، من المرجح أن تحدد ثلاث تحولات كيفية تعزيز المؤسسات لضوابطها.
سوف يصبح ربط النية أكثر أهمية.
إثبات من هو شخص ما لم يعد كافيا. تحتاج المنظمات أيضًا إلى ضمانات أقوى حول ما يأذن به هذا الشخص. وهذا ما يثير الاهتمام بربط النية: الربط المشفر بين الإجراء البشري الذي تم التحقق منه والمعاملة أو التعليمات المحددة التي تمت الموافقة عليها. نظرًا لأن هجمات الحقن التي تعتمد على الذكاء الاصطناعي أصبحت أكثر تعقيدًا، فإن هذا النهج يقترب من المتطلبات العملية للمعاملات عالية القيمة وعالية المخاطر.
ستحدد بيانات تأثير الشبكة الميزة الدفاعية.
أصبح التهرب من عمليات التفتيش ذات النقطة الواحدة أسهل. وتأتي الميزة الأكثر استدامة من تحديد أنماط الاحتيال عبر ملايين الجلسات والأجهزة والشبكات، ثم اكتشاف الهجمات المنسقة قبل انتشارها. يصبح الدفاع أقوى مع الحجم، خاصة عندما يمكن تحليل الإشارات عبر الشخص والمستند والجهاز والشبكة بدلاً من تحليلها بشكل منفصل.
وسوف يستمر الضغط التنظيمي في رفع خط الأساس.
أصبح الامتثال والأمن متشابكين بشكل متزايد. تعمل أطر العمل مثل eIDAS 2.0 ولوائح مكافحة غسيل الأموال وDORA على دفع المؤسسات نحو ضمان هوية أقوى وأكثر توحيدًا. وفي الوقت نفسه، يؤدي الإلغاء التدريجي لـ SMS-OTP إلى تسريع الابتعاد عن عوامل المصادقة القابلة للاعتراض. بالنسبة للعديد من المؤسسات، يعني ذلك أن الحد الأدنى من المعايير المقبولة يرتفع بسرعة فوق الضوابط الحالية.
ماذا تفعل الآن
إن المسار العملي للمضي قدماً ليس تخمينياً. إنه يعتمد على عناصر التحكم التي تقلل بالفعل من ATO بشكل واضح: على سبيل المثال، تبين أن كشف الحيوية البيومترية يخفض ATO بنسبة 80-90٪ عند تنفيذه بشكل صحيح.
ثلاث أولويات:
- جعل المصادقة بدون كلمة مرور ومتطلبات خط الأساس لحيوية القياسات الحيوية، وليس الإضافات المتميزة. تعمل بيانات الاعتماد المقاومة للتصيد الاحتيالي بالإضافة إلى الحيوية على رفع تكلفة انتحال الشخصية بشكل كبير.
- تعامل مع إعادة التحقق، وتدفقات الارتباط السحري، والمصادقة التصاعدية باعتبارها أحداثًا عالية المخاطر. إنهم يستحقون نفس التدقيق الذي خضع له الإعداد الأولي، لأن المهاجمين يستهدفونهم الآن أولاً. قم بتطبيق عملية التحقق على أساس المخاطر بدلاً من إجراء فحص ثابت واحد.
- خطة لربط النوايا والتحقق المقاوم للذكاء الاصطناعي. افترض أن الوسائط التي تصل إلى أنظمتك قد تكون اصطناعية، وأن ضوابط التصميم تربط الهوية التي تم التحقق منها بالنية التي تم التحقق منها.
من السهل ذكر هذا التحول الاستراتيجي ومن الصعب تجاهله. يتبع الاحتيال المسار الأقل مقاومة، وبمجرد التحقق من ذلك، يصبح تحققًا. الفرق التي تفوز في عام 2026 هي تلك التي تدافع بالفعل عن الحلقة التالية في السلسلة، وليس تلك التي تخلى عنها المهاجمون بالفعل.
ملحوظة: تمت كتابة هذه المقالة بخبرة وساهم بها أنطون فولكوف، مدير المنتجات الأول في Veriff.
