في عالم الإنترنت، تعتبر كلمة المرور واحدة من أهم وسائل حماية الحسابات الشخصية.
لكن ماذا يحدث إذا اكتشفت الشركة التي تدير إحدى أكبر منصات التواصل الاجتماعي أن بعض كلمات المرور تم تخزينها بطريقة لا ينبغي أن تُستخدم في الأنظمة الحديثة؟
هذا ما حدث في عام 2019 عندما أعلنت Facebook، الشركة التي كانت تدير Instagram آنذاك، عن اكتشاف مشكلة أمنية تتعلق بطريقة تخزين بعض كلمات مرور المستخدمين.
ولأن الموضوع ارتبط بكلمات مرور ملايين المستخدمين، انتشر الخبر بسرعة وأثار الكثير من التساؤلات.
لكن هناك نقطة مهمة يجب توضيحها منذ البداية:
لم تعلن الشركة أن كلمات مرور Instagram ظهرت للعامة على الإنترنت.
بل أوضحت أن بعض كلمات المرور كانت محفوظة بصيغة قابلة للقراءة داخل أنظمة التخزين الداخلية، وأن التحقيق لم يجد دليلًا على إساءة استخدامها أو الوصول إليها بشكل غير مصرح به من داخل الشركة.
في هذا المقال سنشرح ما الذي حدث، ولماذا تعتبر هذه الطريقة في تخزين كلمات المرور مشكلة أمنية، وما الدروس التي يمكن للمستخدم الاستفادة منها.
ماذا حدث بالضبط؟
في مارس 2019 أعلنت Facebook أنها اكتشفت، خلال مراجعة أمنية دورية، أن بعض كلمات مرور المستخدمين كانت مخزنة بصيغة قابلة للقراءة داخل أنظمة التخزين الداخلية.
وكان هذا مخالفًا للطريقة التي يفترض أن تتعامل بها أنظمة تسجيل الدخول الحديثة مع كلمات المرور.
وقالت الشركة إنها أصلحت المشكلة وبدأت بإخطار المستخدمين الذين تأثرت حساباتهم.
في البداية تحدثت الشركة عن عدد من مستخدمي Instagram الذين قد يتأثرون بالمشكلة.
لكن في تحديث لاحق في أبريل 2019، أعلنت أنها اكتشفت سجلات إضافية لكلمات مرور Instagram مخزنة بالطريقة نفسها، وقدرت أن المشكلة أثرت في ملايين مستخدمي Instagram.
هل تم نشر كلمات المرور على الإنترنت؟
هذه واحدة من أكثر النقاط التي أُسيء فهمها عند تداول الخبر.
وفقًا لما أعلنته Facebook في ذلك الوقت، لم تكن كلمات المرور المعنية ظاهرة للأشخاص خارج الشركة، ولم تجد الشركة دليلًا على أن موظفين أساؤوا استخدام هذه البيانات أو وصلوا إليها بطريقة غير مناسبة.
لذلك فإن القول بأن:
«كلمات مرور Instagram تم نشرها على الإنترنت»
ليس وصفًا دقيقًا لما أعلنته الشركة.
المشكلة كانت في طريقة تخزين بعض كلمات المرور داخل الأنظمة الداخلية.
وهذا فرق مهم جدًا.
لماذا يعتبر تخزين كلمة المرور بصيغة قابلة للقراءة خطرًا؟
لنفترض أنك أنشأت حسابًا على أحد المواقع باستخدام كلمة مرور:
كلمة-سر-مثال
الموقع الآمن لا يحتاج إلى الاحتفاظ بنسخة يمكن للموظفين قراءتها مباشرة.
بدلًا من ذلك، تستخدم الأنظمة الحديثة تقنيات مثل التجزئة Hashing وSalt لمعالجة كلمة المرور قبل تخزينها.
الهدف هو أن يتمكن النظام من التحقق من كلمة المرور عند تسجيل الدخول دون الحاجة إلى الاحتفاظ بها بصورتها الأصلية.
أما تخزين كلمة المرور بصيغة قابلة للقراءة، فيخلق خطرًا غير ضروري إذا تمكن شخص غير مصرح له من الوصول إلى البيانات.
ما المقصود بـ Hashing؟
التجزئة هي عملية تحويل البيانات إلى قيمة أخرى باستخدام دالة رياضية مصممة لهذا الغرض.
في أنظمة كلمات المرور، لا يكون الهدف هو «تشفير» كلمة المرور بطريقة يمكن فكها لاحقًا، وإنما تخزين تمثيل لا يحتاج النظام إلى تحويله مرة أخرى إلى كلمة المرور الأصلية.
عند تسجيل الدخول، يعالج النظام كلمة المرور التي أدخلتها ويقارن النتيجة بالقيمة المخزنة.
وبهذه الطريقة يمكن التحقق من صحة كلمة المرور دون الاحتفاظ بها كنص عادي.
وما وظيفة Salt؟
الـ Salt عبارة عن قيمة إضافية تستخدم مع كلمة المرور قبل عملية التجزئة.
ومن أهم فوائدها جعل الهجمات التي تعتمد على جداول وقيم مجزأة مسبقًا أكثر صعوبة.
وتشير Facebook في شرحها الرسمي إلى أنها كانت تستخدم تقنيات مثل hashing وsalting لحماية كلمات المرور، بالإضافة إلى تقنيات تشفير ومفاتيح مرتبطة بالبنية الأمنية الخاصة بها.
الفكرة الأساسية بسيطة:
كلمة المرور لا يفترض أن تُخزن كنص عادي يمكن قراءته مباشرة.
لماذا لا ينبغي للموظف رؤية كلمة مرور المستخدم؟
حتى داخل الشركة التي تدير الخدمة، لا توجد حاجة طبيعية لأن يعرف موظف الدعم أو المهندس كلمة المرور الأصلية للمستخدم.
إذا نسي المستخدم كلمة المرور، فإن النظام لا يحتاج إلى إخبار الموظف بها.
بدلًا من ذلك يمكن للمستخدم:
إعادة تعيين كلمة المرور.
تأكيد هويته.
استخدام رمز تحقق.
استخدام وسائل استرداد الحساب.
وهذا يقلل من عدد الأشخاص والأنظمة التي يمكن أن تتعامل مع الأسرار الأصلية للمستخدمين.
هل كانت المشكلة في Instagram وحده؟
لا.
الإعلان الأصلي من Facebook تناول أيضًا تخزين كلمات مرور مرتبطة بحسابات Facebook وFacebook Lite.
وقدرت الشركة في البداية أنها ستخطر مئات الملايين من مستخدمي Facebook Lite، وعشرات الملايين من مستخدمي Facebook، وعشرات الآلاف من مستخدمي Instagram، قبل أن يؤدي التحقيق الإضافي إلى اكتشاف سجلات Instagram أخرى ورفع تقدير المتأثرين إلى ملايين المستخدمين.
ولهذا من الأدق الحديث عن مشكلة أمنية في أنظمة تخزين كلمات المرور لدى Facebook، امتدت إلى سجلات مرتبطة بمستخدمي Instagram.
هل كان هناك اختراق لحسابات Instagram؟
يجب التمييز بين أمرين:
تخزين كلمة المرور بطريقة غير آمنة
و
استخدام كلمة المرور فعليًا للوصول إلى حسابات المستخدمين دون إذن.
الشركة قالت في إعلانها إنها لم تجد دليلًا على إساءة استخدام كلمات المرور المخزنة أو الوصول إليها بطريقة غير مناسبة داخل الشركة.
لذلك لا يصح تحويل الحادثة تلقائيًا إلى ادعاء بأن جميع الحسابات المتأثرة تم اختراقها.
لماذا أعلنت الشركة عن المشكلة؟
الإبلاغ عن مثل هذه الحوادث جزء مهم من إدارة المخاطر الأمنية.
فعندما تكتشف الشركة أن معلومات حساسة تم التعامل معها بطريقة غير صحيحة، يمكنها:
التحقيق في نطاق المشكلة.
إصلاح الخلل.
تحديد المستخدمين المتأثرين.
إخطارهم عند الحاجة.
تحسين الأنظمة لمنع تكرار المشكلة.
وقد ذكرت Facebook أنها أصلحت المشكلات التي اكتشفتها خلال مراجعتها الأمنية.
ماذا يجب أن تفعل إذا تأثر حسابك؟
إذا تلقيت في ذلك الوقت إشعارًا من Instagram أو Facebook يطلب منك تغيير كلمة المرور، فالخطوة المناسبة كانت اتباع تعليمات الخدمة وتغيير كلمة المرور.
لكن هناك نصيحة أهم من الحادثة نفسها:
لا تستخدم كلمة المرور نفسها في أكثر من موقع.
إذا استخدمت كلمة مرور واحدة في Instagram والبريد الإلكتروني وموقع آخر، فإن تسربها من خدمة واحدة يمكن أن يعرض الحسابات الأخرى للخطر.
استخدم كلمة مرور مختلفة لكل حساب
تخيل أن لديك ثلاثة حسابات:
Instagram
البريد الإلكتروني
حساب التسوق
إذا كانت الحسابات الثلاثة تستخدم كلمة المرور نفسها، فإن اختراق كلمة المرور في خدمة واحدة قد يسمح للمهاجم بمحاولة استخدامها في الخدمات الأخرى.
أما إذا كانت لكل خدمة كلمة مرور مختلفة، فإن الضرر المحتمل يكون أكثر محدودية.
ولهذا تعد إعادة استخدام كلمات المرور من العادات التي ينبغي تجنبها.
استخدم مدير كلمات المرور
قد يكون من الصعب حفظ عشرات كلمات المرور المختلفة.
لهذا يمكن استخدام مدير كلمات مرور لإنشاء كلمات مرور قوية وفريدة وتخزينها بطريقة منظمة.
وبدل حفظ كلمة مرور مختلفة لكل موقع، تحتاج إلى حماية مدير كلمات المرور نفسه باستخدام وسيلة قوية وآمنة.
فعّل المصادقة الثنائية
كلمة المرور ليست دائمًا أفضل طبقة حماية بمفردها.
يمكن إضافة طبقة أخرى تسمى:
المصادقة الثنائية — Two-Factor Authentication
وبهذه الطريقة لا تعتمد عملية تسجيل الدخول على كلمة المرور وحدها.
قد يطلب النظام مثلًا:
رمزًا من تطبيق مصادقة.
مفتاح أمان.
وسيلة تحقق إضافية.
وقد أوصت Facebook في إعلانها آنذاك باستخدام المصادقة الثنائية ومفاتيح الأمان كوسائل إضافية لحماية الحسابات.
ماذا لو كنت تستخدم كلمة المرور نفسها منذ سنوات؟
من الأفضل مراجعة حساباتك المهمة.
ابدأ خصوصًا بـ:
البريد الإلكتروني الرئيسي.
حسابات التواصل الاجتماعي.
الحسابات المالية.
الخدمات التي تحتوي على معلومات شخصية.
حسابات العمل.
أنشئ كلمة مرور مختلفة لكل خدمة، وفعّل المصادقة الثنائية عندما تكون متاحة.
لا تنتظر حدوث مشكلة حتى تغير كلمة المرور
من الأخطاء الشائعة تغيير كلمة المرور فقط عندما يحدث تسرب أو اختراق.
الأفضل هو بناء نظام حماية جيد من البداية:
كلمات مرور فريدة + مدير كلمات مرور + مصادقة متعددة العوامل + تحديثات أمنية
هذه الإجراءات لا تجعل الحساب محصنًا من جميع المخاطر، لكنها تقلل عدد الطرق التي يمكن استخدامها للاستيلاء عليه.
ماذا نتعلم من حادثة Instagram؟
الحادثة تقدم درسًا مهمًا يتجاوز Instagram نفسه.
الأمن الرقمي لا يعتمد فقط على المستخدم.
حتى الشركات التقنية الكبيرة تحتاج إلى:
مراجعة الأنظمة.
مراقبة طرق تخزين البيانات.
تقليل الوصول إلى المعلومات الحساسة.
اختبار الأنظمة باستمرار.
اكتشاف الأخطاء وتصحيحها.
إخطار المستخدمين عند الحاجة.
وفي الوقت نفسه، يستطيع المستخدم اتخاذ خطوات بسيطة تقلل المخاطر.
لا تثق في الرسائل التي تطلب كلمة المرور
إذا وصلتك رسالة تقول إن حسابك في Instagram معرض للخطر وتطلب منك إدخال كلمة المرور عبر رابط، فلا تتعامل معها تلقائيًا على أنها رسالة رسمية.
قد تكون محاولة تصيد Phishing.
من الأفضل فتح التطبيق أو الموقع الرسمي مباشرة بدل الضغط على روابط مجهولة وإدخال بيانات الحساب فيها.
لا تعطي كلمة المرور لأي شخص
موظف الدعم الحقيقي لا يحتاج إلى معرفة كلمة مرور حسابك.
إذا طلب منك شخص عبر رسالة خاصة أو بريد إلكتروني إرسال كلمة المرور، تعامل مع الأمر على أنه علامة خطر.
كلمة المرور سر شخصي، ولا ينبغي مشاركتها مع الآخرين.
هل ما زالت حادثة 2019 مهمة اليوم؟
نعم، لكن باعتبارها درسًا في أمن المعلومات وليس تحذيرًا من مشكلة جديدة في Instagram.
فالحادثة وقعت في عام 2019، وأعلنت الشركة وقتها أنها أصلحت المشكلات التي اكتشفتها واتخذت إجراءات لإخطار المستخدمين المتأثرين.
ولهذا يجب عند إعادة نشر المقال اليوم أن نوضح التاريخ بدل استخدام عنوان يوحي بأن المشكلة تحدث حاليًا.
وهذا يجعل المقال أكثر دقة وأفضل للقراء الذين يصلون إليه عبر محركات البحث بعد سنوات من نشره.
الخلاصة
في عام 2019 أعلنت Facebook عن اكتشاف مشكلة أدت إلى تخزين بعض كلمات مرور المستخدمين بصيغة قابلة للقراءة داخل أنظمة التخزين الداخلية.
ثم كشفت مراجعة إضافية عن سجلات أخرى مرتبطة بكلمات مرور Instagram، وقدرت الشركة أن المشكلة أثرت في ملايين مستخدمي Instagram.
لكن الشركة أوضحت أن كلمات المرور لم تكن مكشوفة للعامة، وأن التحقيق لم يجد دليلًا على إساءة استخدامها أو الوصول إليها بشكل غير مصرح به.
القصة الأهم بالنسبة للمستخدم ليست الرقم فقط، وإنما الدرس الأمني:
استخدم كلمة مرور مختلفة لكل حساب، فعّل المصادقة الثنائية، واستخدم مدير كلمات المرور، ولا تدخل بياناتك في روابط مجهولة.
فحتى عندما لا يؤدي خلل أمني إلى اختراق معلن للحسابات، فإنه يوضح لماذا يجب التعامل مع كلمات المرور باعتبارها معلومات شديدة الحساسية.
المصادر
Meta — Keeping Passwords Secure، مارس 2019.
Meta — تحديثات أمن كلمات المرور المتعلقة بسجلات Instagram.
KrebsOnSecurity — تقرير مستقل عن حادثة تخزين كلمات المرور في أنظمة Facebook.
