بناء دليل المصادقة متعددة العوامل المقاومة للتصيد في الجزائر: لماذا تهم passkeys وFIDO2 في 2026

التصيد لم يعد مشكلة كمية — بل مشكلة جودة

على مدى معظم العقد الماضي، كانت مكافحة التصيد في الجزائر مسألة فلترة وتدريب: حجب التقليد الواضح، وتحذير الموظفين من أسماء النطاقات المكتوبة بشكل خاطئ، وتدوير كلمات المرور كل 90 يوماً. هذا النموذج يتصدع. أزال الذكاء الاصطناعي التوليدي الإشارتين اللتين كانتا تكشفان التصيد — الأخطاء النحوية والسياق الغريب — وأضاف سلاحين جديدين للمهاجم: توطين متقن باللغتين الفرنسية والعربية، ومكالمات هاتفية بصوت مستنسخ تنتحل شخصية تنفيذي معروف.

يقدّر تحليل حديث من StrongestLayer أن الذكاء الاصطناعي يولّد الآن حوالي 82.6% من رسائل التصيد وأن فرق الأمن المؤسسية لم تعد قادرة على الاعتماد على المؤشرات اللغوية للتمييز بين البريد المشروع والهجمات. ويضيف ملخص ZeroThreat لعام 2026 حول إحصاءات deepfake والتصيد بالذكاء الاصطناعي أن الحوادث المرتبطة بـdeepfake ارتفعت بشكل حاد في النصف الأول من 2025، مع اقتران اختراق البريد التجاري (BEC) بشكل متكرر بمكالمة صوتية تبدو تماماً مثل صوت المدير المالي. كما نشرت شركة Sharp البريطانية وصفاً ميدانياً مفيداً لما تسميه هجمات التصيد وdeepfake فائقة الواقعية في 2026، بما في ذلك اجتماعات Microsoft Teams مزيفة تُستخدم لسرقة cookies الجلسة.

كلمات المرور ورموز SMS المؤقتة لا توقف أياً من هذا. بل هي بالضبط ما صُمم مجموعة أدوات التصيد بالذكاء الاصطناعي لحصاده. الجواب الدفاعي هو إزالة السر القابل للتصيد من المعادلة — وهذا بالضبط ما يفعله FIDO2 وpasskeys.

ما يعنيه “المقاوم للتصيد” فعلياً

يُعرّف US Cyber Security Institute المصادقة المقاومة للتصيد بأنها مصادقة لا يمكن فيها خداع المستخدم لتسليم العامل الثاني للمهاجم. عملياً يضيّق ذلك الخيارات إلى تقنيتين:

• مفاتيح أمان FIDO2 — أجهزة USB/NFC صغيرة (YubiKey، Token2، Feitian) تستخدم تشفيراً بالمفتاح العام مرتبطاً بنطاق الأصل. حتى لو طبع المستخدم الرمز المؤقت في موقع مزيف، يرفض المفتاح التوقيع لأن النطاق غير مطابق.
• Passkeys — النسخة الموجهة للمستهلك من FIDO2، مخزنة في الجيب الآمن للجهاز ومُزامنة عبر حسابات Apple وGoogle وMicrosoft. تجربة المستخدم هي مسح للوجه أو بصمة؛ ولا يوجد رمز لاعتراضه.

كل ما عدا ذلك — SMS OTP وemail OTP والموافقة بالدفع بدون مطابقة رقم ورموز TOTP في تطبيق مصادقة — يُصنف كقابل للتصيد. كلها مفيدة كخطوة فوق كلمة المرور العارية، لكن لا شيء منها هو الإجابة الصحيحة للحسابات المميزة أو المعاملات الاستهلاكية عالية القيمة في 2026.

دليل الطبقات الثلاث للمؤسسات الجزائرية

النشر الواقعي في المكدس الجزائري الحالي لا يحاول استبدال SMS OTP بين عشية وضحاها. إنه يرتّب الدفاعات حسب هوية المستخدم وقيمة المعاملة.

الطبقة 1 — المديرون المميزون (مفاتيح مادية، إلزامية). مديرو النطاق والوصول إلى console السحابة وحسابات GitHub للمطورين و back-office بوابات الدفع والمستخدمون الأساسيون في ERP. يجب أن تستلزم هذه الحسابات مفتاح FIDO2 المادي كعامل ثانٍ وحيد مسموح به، دون الرجوع إلى SMS. السكان صغير — عادة أقل من 5% من الموظفين — لذا تبقى تكلفة التوريد محدودة. الميزانية تقارب 50 إلى 80 USD لكل مستخدم مقابل مفتاحين لكل واحد (رئيسي واحتياطي). هذه الطبقة تزيل الهجوم الأكثر تدميراً: سرقة الاعتماد التي تتصاعد إلى نشر ransomware.

الطبقة 2 — تسجيل دخول العملاء المستهلكين (passkeys، اختيارية ثم افتراضية). البنوك عبر الهاتف وحسابات التجارة الإلكترونية وبوابات الخدمة الذاتية للمشغلين. الهدف هو تقديم passkeys كخيار تسجيل اليوم، وجعلها الافتراضية للعملاء الجدد خلال ستة أشهر، وإلغاء SMS OTP للمعاملات عالية القيمة (تحويلات فوق حد معين، مدفوعات دولية بدون حضور البطاقة) خلال 12 إلى 18 شهراً. Passkeys تعمل على كل جهاز Android وiOS حديث؛ والمشغلون المنظمون من قبل ARPCE يسوّقون بالفعل أجهزة تدعمها أصلاً.

الطبقة 3 — الجميع الآخرون (MFA مبنية على المخاطر مع step-up). لتسجيلات دخول الموظفين العاديين وSaaS الداخلي وجلسات العملاء منخفضة القيمة، استخدم MFA تكيفية لا تتحدى إلا عندما يقفز درجة المخاطر — جهاز جديد، جغرافيا سفر مستحيل، وصول خارج ساعات العمل، نطاق IP غير مألوف. عند إطلاق التحدي، يجب أن يكون step-up دفعة مع مطابقة رقم أو passkey، لا رمز SMS خام.

تطابق هذه الطبقات ما توصي به بالفعل الجهات الرقابية اليابانية والأوروبية، وهي قابلة للنشر على Microsoft Entra وGoogle Workspace وOkta وKeycloak — منصات الهوية الأربع التي تستخدمها معظم الشركات الجزائرية متوسطة الحجم بالفعل.

الحقائق المحلية التي تشكّل النشر

عدة عوامل خاصة بالجزائر تغيّر دليل المورّد الافتراضي:

• تجزئة الأجهزة. لا تزال حصة كبيرة من القوى العاملة تستخدم هواتف Android منخفضة الفئة قد لا تدعم المزامنة الأصلية لـpasskeys. يجب أن تتضمن خطة النشر احتياطياً بمفتاح أمان مادي لهؤلاء المستخدمين، وليس احتياطياً بـSMS.
• مخاطر المعاملات عبر الحدود. تتحمل شركات التجارة الإلكترونية والتقنية المالية الجزائرية حصة غير متناسبة من احتيالها عبر هجمات BEC قادمة من خارج البلاد. MFA المقاومة للتصيد على موظفي المالية والمشتريات هي أعلى ROI.
• توطين الطعوم بالفرنسية والعربية. التصيد المكتوب بالذكاء الاصطناعي باللغتين أصبح الآن غير قابل للتمييز عن البريد الداخلي الحقيقي. التدريب على التوعية الأمني لم يعد ضابطاً تعويضياً بمفرده؛ تعامل معه كنظافة، لا كدفاع.
• الرياح التنظيمية. لم يفرض ARPCE وبنك الجزائر بعد MFA المقاومة للتصيد، لكن الجهات الرقابية العالمية تحركت — المؤسسات التي تنتظر تفويضاً محلياً ستكون متأخرة عندما يصل.

خطة انطلاق لمدة 90 يوماً

يمكن للمؤسسات التي تريد التحرك هذا الربع دون انتظار وثيقة استراتيجية رسمية تشغيل برنامج مركز لمدة 90 يوماً:

• الأيام 1-30: جرد الحسابات المميزة. شراء مفاتيح FIDO2 المادية (مفتاحان لكل مدير). تفعيل تسجيل passkey كخيار على منصة هوية العميل.
• الأيام 31-60: فرض المفاتيح المادية على كل تسجيلات الدخول المميزة، تعطيل الرجوع إلى SMS/email OTP لهذه الحسابات. تشغيل سياسات step-up المبنية على المخاطر للموظفين العاديين.
• الأيام 61-90: تشغيل محاكاة تصيد مضبوطة، بما في ذلك طعم بالفرنسية مولّد بالذكاء الاصطناعي ومكالمة “مدير مالي” بصوت مستنسخ، وقياس عدد المستخدمين الذين ينقرون أو يشاركون الرموز أو يوافقون على دفعات الإشعارات. نشر النتيجة داخلياً كخط أساس جديد.

النتيجة القابلة للقياس في اليوم 90 هي أن تصيد الاعتمادات ضد الحسابات المميزة له تكلفة واقعية قريبة من الصفر، وأن المؤسسة تمتلك الأدلة التي تحتاجها لتبرير الدورة المالية التالية.

ما يجب على مسؤولي أمن المعلومات والمديرين التقنيين الجزائريين نشره هذا الربع

1. شراء مفاتيح FIDO2 المادية للحسابات ذات الأثر البالغ

المكاسب السريعة موجودة دوماً لمن يعرف أين يبحث. ابدأ برسم خريطة “نصف قطر الانفجار”: حساب AD واحد مخترَق يمنح ماذا؟ SWIFT وERP والإقرار الضريبي ورواتب الموظفين يُشكّلون بمجتمعهم أعلى عشرة حسابات خطورة. احصل على مفاتيح YubiKey أو Feitian لهذه الحسابات أولاً — توفر المنظومة البنك الدولي ورقماً دولياً للبريد الجزائري قائمة موردين مؤهلة. تكلفة 15 ألف دينار للمفتاح الواحد مقابل تكلفة اختراق SWIFT متوسطة تزيد عن 200 ألف دولار هي معادلة سهلة الحسم أمام أي إدارة. خلاصة سريعة: حدّد العشرة الأوائل بنصف قطر الانفجار الأعلى هذا الأسبوع، وأصدر طلب شراء المفاتيح قبل نهاية الشهر.

2. تفعيل تسجيل Passkey على المنصات الاستهلاكية اليوم

إذا كنت تشغّل تطبيقاً مصرفياً أو منصة e-commerce أو بوابة حكومية، فإن FIDO2 Passkeys متوفرة الآن في iOS 16+ وAndroid 9+ دون الحاجة إلى حلول طرف ثالث. Google Workspace وMicrosoft Entra وOkta تدعم تسجيل Passkey بتكوين بسيط. التأخر لأن التغيير “معقد” هو حجة تضعف كل شهر مع ارتفاع معدل اختراق الهاتف الجزائري وانتشار التصيد المكتوب بالفرنسية والعربية. خلاصة سريعة: اعقد اجتماعاً تقنياً مع فريق المنتج هذا الأسبوع لتقييم جاهزية Passkey، وحدد موعداً للنشر للربع القادم إذا لم تبدأ بعد.

3. تنفيذ محاكاة تصيد بالذكاء الاصطناعي قبل دورة التدقيق القادمة

التصيد المكتوب بالذكاء الاصطناعي بالعربية والفرنسية أصبح متاحاً بتكلفة صفر تقريباً، والبريد الجزائري والبنوك هي أكثر الأسماء المنتحَلة. اشترِ أداة محاكاة مثل GoPhish أو KnowBe4، واطلب من المورّد بناء طعم يتضمن رسالة WhatsApp باللهجة الجزائرية ومكالمة صوتية مستنسخة تدّعي أنها مدير مالي. قِس معدل النقر قبل الدورة التدريبية وبعدها، وانشر النتيجة داخلياً كخط أساس موثوق. لجان المراجعة تطلب بشكل متزايد أدلة اختبار إنسانية، لا فحوصات تقنية وحدها. خلاصة سريعة: قبل التدقيق التالي بستة أسابيع، أطلق محاكاة تصيد مستهدفة وقدّم تقريراً موجزاً بمعدلات النقر وخطة المعالجة.

السؤال التنظيمي

لم تُصدر ARPCE ولا بنك الجزائر بعدُ أي تفويض رسمي بشأن المصادقة متعددة العوامل المقاومة للتصيد. يستشهد بعض مدراء تقنية المعلومات بهذا الغياب ذريعةً لتأجيل الترقية — إذ يرون أنه ما دام لا يفرضها أي جهة تنظيمية فلا إلحاح يستوجب التحرك. غير أن مسار التنظيم العالمي يحكي قصة مغايرة. ألغت هيئة الخدمات المالية اليابانية رسمياً SMS OTP للمعاملات المصرفية عالية القيمة عام 2024. تُصنّف مبادئ توجيهية لجنة هيئات الأوراق المالية الأوروبية بموجب PSD2 الآن كلاً من SMS والموافقة الفورية دون مطابقة الأرقام باعتبارهما غير كافيَين للمصادقة القوية على العملاء. وتُحدد توجيهات الوكالة الأمريكية للأمن السيبراني وأمن البنية التحتية (CISA) FIDO2 معياراً مقبولاً للوكالات الفيدرالية وتستثني SMS ورموز TOTP صراحةً.

السؤال التنظيمي للجزائر ليس ما إذا كان التفويض سيأتي، بل ما إذا كانت المؤسسات الجزائرية ستكون قد أتمّت الترقية حين يصل. البنوك وشركات الاتصالات التي تنتظر التفويض المحلي ستواجه جدولاً زمنياً للامتثال مضغوطاً بنافذة تنفيذ الجهة التنظيمية لا باستعدادها التشغيلي الخاص. والمؤسسات التي تُكمل نشر مفاتيح الأجهزة للمستوى الأول وهجرة passkeys للمستهلكين في 2026 و2027 ستتمكن من الردّ على أي توجيه من بنك الجزائر بأدلة على التنفيذ المسبق لا بخطة معالجة. وبما أن رسائل التصيد المولّدة بالذكاء الاصطناعي بالفرنسية والعربية باتت لا تُمَيَّز عن البريد الداخلي المشروع، وهجمات BEC-3.0 بانتحال الصوت ضد موظفي الشؤون المالية موثَّقة في أسواق مماثلة، فإن الحجة الأمنية قوية بما يكفي لتبرير الترقية بمعزل عن الجدول الزمني التنظيمي. السؤال التنظيمي سيجيب عن نفسه في نهاية المطاف. أما سؤال المخاطرة فقد أُجيب عنه بالفعل.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• AI-Generated Phishing: The Enterprise Threat — StrongestLayer
• Hyper-Realistic Phishing & Deepfake Attacks in 2026 — Sharp UK
• Deepfake and AI Phishing Statistics 2026 — ZeroThreat
• US Cyber Security Institute — Phishing-Resistant MFA Guidance