لماذا تشكل المواقع التي تطلب كلمة المرور خطرا؟

مواقع المتابعين والإعجابات التي تطلب كلمة المرور خطرة، لأن إرسال المتابعين أو الإعجابات لا يحتاج إلى كلمة مرور أصلا. والطرف الذي يأخذ كلمة مرورك يدخل حسابك، ويتابع آخرين باسمك، ويرسل رسائل، ويستولي على الحساب، وقد يمتد إلى بريدك الإلكتروني إن كنت تستعمل كلمة المرور نفسها هناك. أما الخدمة المشروعة فلا تطلب سوى رابطك المعروض للجميع.

ماذا يفعل الموقع بكلمة مرورك؟

في اللحظة التي تكتب فيها كلمة مرورك في موقع أو تطبيق، يخرج حسابك من سيطرتك. ولست أنت من يقرر ما سيفعله الطرف الآخر، وهذه أكثر السيناريوهات شيوعا.

الاستيلاء على الحساب

يدخل من أخذ كلمة المرور إلى حسابك، فيغير أولا بريد الاسترداد ورقم الهاتف إلى بياناته هو، ثم يجدد كلمة المرور. وفي أثناء ذلك تخرج أنت من التطبيق، وتصير خطوة «نسيت كلمة المرور» ترسل الرمز إليه لا إليك. والحسابات ذات المتابعين الكثيرين قد تباع بهذا الطريق أو يطلب مال مقابل إعادتها، أما الحسابات الصغيرة فتستعمل في منشورات الإعلان والاحتيال.

سرقة بيانات الجلسة

بعض المواقع لا تطلب كلمة المرور، بل تقول «انسخ هذا الرمز من متصفحك والصقه هنا»، وهي تطلب ملف ارتباط الجلسة. وملف الجلسة هو المفتاح الذي تكتبه المنصة في متصفحك لتعرفك، وهو يفتح الباب نفسه الذي تفتحه كلمة المرور. والأدهى أنك لو غيرت كلمة المرور فقد يظل هذا المفتاح صالحا ما لم تغلق الجلسات المفتوحة. ولهذا فعبارة «لا نطلب كلمة المرور، الرمز فقط» ليست ضمانة.

إرسال رسائل مزعجة باسمك

أكثر أنظمة المتابعين التي تطلب كلمة المرور تعمل بمنطق تجميعي: بينما يصلك متابعون، يتابع حسابك حسابات أخرى في المجموعة، ويعجب بمنشوراتها، ويترك تعليقات أحيانا. وقد يرسل حسابك رسائل إلى أشخاص لا تعرفهم دون علمك، أو ينشر إعلانا في قصتك. وحين ترى المنصة هذا السلوك تتعامل معه على أنه سلوكك أنت؛ فيصلك التحذير أو تقييد الخصائص أو الإغلاق.

خطر الحسابات المرتبطة: البريد والهاتف

يستعمل كثير من الناس كلمة المرور نفسها في أماكن عدة. فإن كانت كلمة مرور حسابك على مواقع التواصل هي نفسها كلمة مرور بريدك، دخل المهاجم بريدك أيضا. والبريد مفتاح حساباتك كلها: كل مسار «نسيت كلمة المرور» من المصرف إلى متجر التسوق ينتهي هناك. ورقم الهاتف باب مشابه؛ فحين يغير الرقم المرتبط بالحساب تصل رموز التحقق عبر الرسائل القصيرة إلى هاتف غيرك.

ملفات APK وبرامج الرشق

الملفات التي توزع باسم «برنامج زيادة المتابعين»، سواء كانت ملف APK أو ملفا للحاسوب، برمجيات تثبت من خارج المتجر. ولأنها لم تمر بمراجعة المتجر فلا أحد يتحقق مما بداخلها. والأذونات التي تطلبها عند التثبيت تفضح غرضها الحقيقي: إذن قراءة الرسائل القصيرة لسرقة رموز التحقق، وإذن إمكانية الوصول لقراءة ما تكتبه على الشاشة، وإذن الرسم فوق الشاشة لعرض نافذة دخول مزيفة.

ولا يلزمك تثبيت شيء على هاتفك لإرسال متابعين أو إعجابات أو مشاهدات. فهذه العمليات لا تجري داخل حسابك بل على محتواك المعروض للجميع، ولا يكفيها تطبيق بل يكفيها رابط. وكل عرض «رشق» يطلب تثبيتا يناقض هذه الحقيقة البسيطة.

شاشات «تسجيل الدخول» المزيفة

أشيع الأساليب شاشة منسوخة تشبه صفحة دخول المنصة. الشعار والألوان والخط كلها متطابقة، والفرق الوحيد في شريط العنوان. واسم المستخدم وكلمة المرور اللذان تكتبهما في هذه الشاشة يذهبان مباشرة إلى من يدير الموقع، ثم يحولك إلى الصفحة الحقيقية فتظن أنك أخطأت في كتابة كلمة المرور.

فإذا واجهتك شاشة دخول فانظر في شريط العنوان. شاشة الدخول الحقيقية تفتح على نطاق المنصة نفسه: انستقرام على instagram.com، وتيك توك على tiktok.com. أما العناوين التي بدلت حروفها، أو أضيفت إليها كلمة في آخرها، أو انتهت بامتداد مختلف، فهي نسخ. والنافذة التي تفتح داخل تطبيق تستحق الفحص نفسه؛ فإن لم يظهر العنوان فلا تكتب كلمة المرور.

كيف تعرف الموقع الخطر؟

تكفي علامة واحدة من العلامات التالية؛ فإن اجتمعت اثنتان فأغلق الصفحة.

• حقل كلمة المرور: إن وجد بجانب اسم المستخدم حقل لكلمة المرور، فالغرض ليس إرسال المتابعين بل أخذ حسابك.
• طلب تحميل تطبيق: كل صفحة تقول «ثبت التطبيق للمتابعة» تحاول إدخال ملف غير مراجع إلى هاتفك.
• طلب رمز التحقق: من يطلب منك الرمز الواصل إلى هاتفك يحاول في تلك اللحظة الدخول إلى حسابك. الرمز سؤال المنصة لك: «هل هذا أنت؟»، وحين تقوله لغيرك يصير الجواب نعم.
• زر «اربط حسابك»: الربط في الغالب اسم آخر لكتابة كلمة المرور. وحتى لو كان تفويضا حقيقيا من المنصة، فأنت تمنح موقعا لا تعرفه إذنا بالتصرف في حسابك.
• مهمة أولا ثم مكافأة: النظام الذي يقول «تابع هذه الحسابات ثم يصلك متابعوك» يستعمل حسابك جزءا من مجموعته.
• وعد برقم مؤكد: كل وعد قاطع بأرقام خارج عن السيطرة؛ فلا أحد يدير عدادات المنصة.

وحين تشك اسأل نفسك سؤالا واحدا: هل تحتاج هذه الخدمة إلى الدخول داخل حسابي لكي تؤدي عملها؟ والجواب في المشاهدات والإعجابات والمتابعين لا، دائما. فهذه العمليات كلها تجري من الخارج بالنظر إلى محتواك المعروض للجميع. والخدمة التي تريد الدخول إلى حسابك غرضها ليس ما تقوله لك.

ماذا تفعل إن وقع الأمر؟

إن كنت قد كتبت كلمة مرورك في مكان ما، أو ثبت تطبيقا مشبوها، فالترتيب مهم. طبق الخطوات التالية بهذا الترتيب.

أولا: غير كلمة المرور فورا

غير كلمة مرور حسابك على مواقع التواصل أولا، ثم كل الحسابات التي تستعمل فيها كلمة المرور نفسها. ولتكن الكلمة الجديدة طويلة وغير مستعملة في أي مكان آخر. وبدل تغيير كلمة المرور من هاتف عليه تطبيق مشبوه، احذف التطبيق أولا أو نفذ العملية من جهاز آخر.

ثانيا: أغلق الجلسات كلها

تغيير كلمة المرور لا يسقط الجلسات المفتوحة دائما. ففي انستقرام يعرض نشاط تسجيل الدخول ضمن إعدادات الأمان، وفي تيك توك تعرض قائمة الأجهزة ضمن قسم الأمان والأذونات، وكلاهما يبين لك الجلسات المفتوحة. أخرج من هناك كل جهاز وكل موقع لا تعرفه. وهذه الخطوة تبطل أيضا ملف الجلسة المسروق.

ثالثا: فعل التحقق بخطوتين

التحقق بخطوتين يمنع حتى من يعرف كلمة المرور من الدخول بغير تأكيد ثان. واختر إن أمكن تطبيق مصادقة بدل الرسائل القصيرة، فهو أمتن أمام تغيير الرقم ونسخ شريحة الهاتف. واحفظ الرموز الاحتياطية في مكان آمن.

رابعا: احذف التطبيقات المرتبطة

يعرض قسم التطبيقات والمواقع في انستقرام، وقسم أذونات التطبيقات في تيك توك، الجهات الخارجية التي منحتها وصولا إلى حسابك. احذف كل إدخال لا تعرفه أو لم تعد تستعمله. واحذف من هاتفك تطبيقات «الرشق» التي ثبتها من خارج المتجر، وافحص الجهاز أمنيا إن لزم.

خامسا: تفقد البريد والهاتف

تحقق هل ما زال بريد الاسترداد ورقم الهاتف في حسابك يخصانك. وانظر كذلك في إعدادات أمان بريدك نفسه: فالمهاجمون يضيفون في البريد الذي يدخلونه قاعدة تحويل ترسل إليهم نسخة من الرسائل. فإن وجدت تحويلا أو مرشحا أو جهازا مرتبطا لا تعرفه فاحذفه، وجدد كلمة مرور بريدك أيضا.

سادسا: راجع دعم المنصة

إن لم تعد تستطيع الدخول إلى الحساب فاستعمل رابط المساعدة في شاشة الدخول. ويقدم انستقرام وتيك توك مسار استرداد بتوثيق الهوية للحسابات المستولى عليها، ويكون المسار أقصر إن كان وصولك إلى البريد أو الهاتف المسجل ما زال قائما. وفي هذه الأثناء نبه متابعيك تنبيها قصيرا: ألا يضغطوا الروابط التي تصلهم باسمك.

لماذا يختلف النهج في هذا الموقع؟

خدمات هذا الموقع لا تطلب سوى رابط معروض للجميع أو اسم مستخدم، ولا تطلب شيئا غير ذلك. لا حقل لكلمة المرور، ولا تطبيق، ولا خطوة لربط الحساب، ولا رمز يصل إلى هاتفك. ينقل الطلب إلى المزود، ويجري التسليم إلى محتواك المعروض للجميع، ولا يمس حسابك في أي لحظة. وهذا ليس برنامجا ولا ملف APK ولا ثغرة في الحساب، بل خدمة تجريبية مجانية، ويمكنك قراءة المسار كاملا في دليل الخدمات المجانية.

وللأمانة فلهذا النهج حدوده أيضا. العدد ثابت، وهناك مدة انتظار، وقد يتغير ما يصل بعض الشيء مع الوقت، ولا بد أن يكون حسابك أو محتواك معروضا للجميع. وهذه الخدمة لا تنمي حسابك وحدها، إنما تعطي فيديو جديدا أو حسابا جديدا بداية صغيرة. وفي المقابل لا تخاطر بكلمة مرورك ولا بهاتفك ولا بحساباتك كلها.

وتعمل خدمات متابعين تيك توك ومتابعين انستقرام وإعجابات تيك توك بالمنطق نفسه في النموذج ذاته. وتجد الخدمات مرتبة بحسب المنصة في صفحتي تيك توك وانستقرام. وفي أي صفحة كنت تبقى القاعدة واحدة: إن طلب منك مكان كلمة المرور، فهو لا يرسل متابعين، بل يأخذ حسابك.