التصيد لم يعد مشكلة كمية — بل مشكلة جودة
على مدى معظم العقد الماضي، كانت مكافحة التصيد في الجزائر مسألة فلترة وتدريب: حجب التقليد الواضح، وتحذير الموظفين من أسماء النطاقات المكتوبة بشكل خاطئ، وتدوير كلمات المرور كل 90 يوماً. هذا النموذج يتصدع. أزال الذكاء الاصطناعي التوليدي الإشارتين اللتين كانتا تكشفان التصيد — الأخطاء النحوية والسياق الغريب — وأضاف سلاحين جديدين للمهاجم: توطين متقن باللغتين الفرنسية والعربية، ومكالمات هاتفية بصوت مستنسخ تنتحل شخصية تنفيذي معروف.
يقدّر تحليل حديث من StrongestLayer أن الذكاء الاصطناعي يولّد الآن حوالي 82.6% من رسائل التصيد وأن فرق الأمن المؤسسية لم تعد قادرة على الاعتماد على المؤشرات اللغوية للتمييز بين البريد المشروع والهجمات. ويضيف ملخص ZeroThreat لعام 2026 حول إحصاءات deepfake والتصيد بالذكاء الاصطناعي أن الحوادث المرتبطة بـdeepfake ارتفعت بشكل حاد في النصف الأول من 2025، مع اقتران اختراق البريد التجاري (BEC) بشكل متكرر بمكالمة صوتية تبدو تماماً مثل صوت المدير المالي. كما نشرت شركة Sharp البريطانية وصفاً ميدانياً مفيداً لما تسميه هجمات التصيد وdeepfake فائقة الواقعية في 2026، بما في ذلك اجتماعات Microsoft Teams مزيفة تُستخدم لسرقة cookies الجلسة.
كلمات المرور ورموز SMS المؤقتة لا توقف أياً من هذا. بل هي بالضبط ما صُمم مجموعة أدوات التصيد بالذكاء الاصطناعي لحصاده. الجواب الدفاعي هو إزالة السر القابل للتصيد من المعادلة — وهذا بالضبط ما يفعله FIDO2 وpasskeys.
ما يعنيه “المقاوم للتصيد” فعلياً
يُعرّف US Cyber Security Institute المصادقة المقاومة للتصيد بأنها مصادقة لا يمكن فيها خداع المستخدم لتسليم العامل الثاني للمهاجم. عملياً يضيّق ذلك الخيارات إلى تقنيتين:
- مفاتيح أمان FIDO2 — أجهزة USB/NFC صغيرة (YubiKey، Token2، Feitian) تستخدم تشفيراً بالمفتاح العام مرتبطاً بنطاق الأصل. حتى لو طبع المستخدم الرمز المؤقت في موقع مزيف، يرفض المفتاح التوقيع لأن النطاق غير مطابق.
- Passkeys — النسخة الموجهة للمستهلك من FIDO2، مخزنة في الجيب الآمن للجهاز ومُزامنة عبر حسابات Apple وGoogle وMicrosoft. تجربة المستخدم هي مسح للوجه أو بصمة؛ ولا يوجد رمز لاعتراضه.
كل ما عدا ذلك — SMS OTP وemail OTP والموافقة بالدفع بدون مطابقة رقم ورموز TOTP في تطبيق مصادقة — يُصنف كقابل للتصيد. كلها مفيدة كخطوة فوق كلمة المرور العارية، لكن لا شيء منها هو الإجابة الصحيحة للحسابات المميزة أو المعاملات الاستهلاكية عالية القيمة في 2026.
إعلان
دليل الطبقات الثلاث للمؤسسات الجزائرية
النشر الواقعي في المكدس الجزائري الحالي لا يحاول استبدال SMS OTP بين عشية وضحاها. إنه يرتّب الدفاعات حسب هوية المستخدم وقيمة المعاملة.
الطبقة 1 — المديرون المميزون (مفاتيح مادية، إلزامية). مديرو النطاق والوصول إلى console السحابة وحسابات GitHub للمطورين و back-office بوابات الدفع والمستخدمون الأساسيون في ERP. يجب أن تستلزم هذه الحسابات مفتاح FIDO2 المادي كعامل ثانٍ وحيد مسموح به، دون الرجوع إلى SMS. السكان صغير — عادة أقل من 5% من الموظفين — لذا تبقى تكلفة التوريد محدودة. الميزانية تقارب 50 إلى 80 USD لكل مستخدم مقابل مفتاحين لكل واحد (رئيسي واحتياطي). هذه الطبقة تزيل الهجوم الأكثر تدميراً: سرقة الاعتماد التي تتصاعد إلى نشر ransomware.
الطبقة 2 — تسجيل دخول العملاء المستهلكين (passkeys، اختيارية ثم افتراضية). البنوك عبر الهاتف وحسابات التجارة الإلكترونية وبوابات الخدمة الذاتية للمشغلين. الهدف هو تقديم passkeys كخيار تسجيل اليوم، وجعلها الافتراضية للعملاء الجدد خلال ستة أشهر، وإلغاء SMS OTP للمعاملات عالية القيمة (تحويلات فوق حد معين، مدفوعات دولية بدون حضور البطاقة) خلال 12 إلى 18 شهراً. Passkeys تعمل على كل جهاز Android وiOS حديث؛ والمشغلون المنظمون من قبل ARPCE يسوّقون بالفعل أجهزة تدعمها أصلاً.
الطبقة 3 — الجميع الآخرون (MFA مبنية على المخاطر مع step-up). لتسجيلات دخول الموظفين العاديين وSaaS الداخلي وجلسات العملاء منخفضة القيمة، استخدم MFA تكيفية لا تتحدى إلا عندما يقفز درجة المخاطر — جهاز جديد، جغرافيا سفر مستحيل، وصول خارج ساعات العمل، نطاق IP غير مألوف. عند إطلاق التحدي، يجب أن يكون step-up دفعة مع مطابقة رقم أو passkey، لا رمز SMS خام.
تطابق هذه الطبقات ما توصي به بالفعل الجهات الرقابية اليابانية والأوروبية، وهي قابلة للنشر على Microsoft Entra وGoogle Workspace وOkta وKeycloak — منصات الهوية الأربع التي تستخدمها معظم الشركات الجزائرية متوسطة الحجم بالفعل.
الحقائق المحلية التي تشكّل النشر
عدة عوامل خاصة بالجزائر تغيّر دليل المورّد الافتراضي:
- تجزئة الأجهزة. لا تزال حصة كبيرة من القوى العاملة تستخدم هواتف Android منخفضة الفئة قد لا تدعم المزامنة الأصلية لـpasskeys. يجب أن تتضمن خطة النشر احتياطياً بمفتاح أمان مادي لهؤلاء المستخدمين، وليس احتياطياً بـSMS.
- مخاطر المعاملات عبر الحدود. تتحمل شركات التجارة الإلكترونية والتقنية المالية الجزائرية حصة غير متناسبة من احتيالها عبر هجمات BEC قادمة من خارج البلاد. MFA المقاومة للتصيد على موظفي المالية والمشتريات هي أعلى ROI.
- توطين الطعوم بالفرنسية والعربية. التصيد المكتوب بالذكاء الاصطناعي باللغتين أصبح الآن غير قابل للتمييز عن البريد الداخلي الحقيقي. التدريب على التوعية الأمني لم يعد ضابطاً تعويضياً بمفرده؛ تعامل معه كنظافة، لا كدفاع.
- الرياح التنظيمية. لم يفرض ARPCE وبنك الجزائر بعد MFA المقاومة للتصيد، لكن الجهات الرقابية العالمية تحركت — المؤسسات التي تنتظر تفويضاً محلياً ستكون متأخرة عندما يصل.
خطة انطلاق لمدة 90 يوماً
يمكن للمؤسسات التي تريد التحرك هذا الربع دون انتظار وثيقة استراتيجية رسمية تشغيل برنامج مركز لمدة 90 يوماً:
- الأيام 1-30: جرد الحسابات المميزة. شراء مفاتيح FIDO2 المادية (مفتاحان لكل مدير). تفعيل تسجيل passkey كخيار على منصة هوية العميل.
- الأيام 31-60: فرض المفاتيح المادية على كل تسجيلات الدخول المميزة، تعطيل الرجوع إلى SMS/email OTP لهذه الحسابات. تشغيل سياسات step-up المبنية على المخاطر للموظفين العاديين.
- الأيام 61-90: تشغيل محاكاة تصيد مضبوطة، بما في ذلك طعم بالفرنسية مولّد بالذكاء الاصطناعي ومكالمة “مدير مالي” بصوت مستنسخ، وقياس عدد المستخدمين الذين ينقرون أو يشاركون الرموز أو يوافقون على دفعات الإشعارات. نشر النتيجة داخلياً كخط أساس جديد.
النتيجة القابلة للقياس في اليوم 90 هي أن تصيد الاعتمادات ضد الحسابات المميزة له تكلفة واقعية قريبة من الصفر، وأن المؤسسة تمتلك الأدلة التي تحتاجها لتبرير الدورة المالية التالية.
الأسئلة الشائعة
ما الفرق بين passkey ومفتاح أمان FIDO2؟
كلاهما يستخدم نفس تشفير FIDO2 الأساسي. Passkey مخزّن في الجيب الآمن لهاتف أو حاسوب ومفتوح بالبيومتريا؛ ومفتاح أمان FIDO2 جهاز مادي صغير (USB أو NFC) تحمله معك. Passkeys أفضل للمستهلكين، والمفاتيح المادية أفضل للمديرين المميزين الذين يحتاجون نسخة احتياطية يمكنهم حبسها في خزنة.
هل SMS OTP لا يزال مقبولاً للبنوك الجزائرية في 2026؟
مقبول كحد أدنى أساسي لكنه لم يعد كافياً للمعاملات عالية القيمة أو الوصول الإداري. صرّحت الجهات الرقابية العالمية — بما في ذلك FSA اليابانية والسلطات المصرفية الأوروبية — رسمياً بأن SMS وemail OTP ليستا كافيتين أمام تقنيات التصيد الحالية. يجب على البنوك الجزائرية التخطيط للتخلي عن SMS OTP للتحويلات الكبيرة وتسجيلات الدخول المميزة قبل وصول تفويض محلي صريح.
من أين يجب أن تبدأ شركة SME جزائرية إذا كانت ميزانيتها تكفي لعشرة مفاتيح مادية فقط؟
جرد الحسابات المميزة ورتّبها حسب نطاق الانفجار. العشرة الأوائل هم دائماً تقريباً: مديرا نطاق، المستخدم الأساسي في ERP، مدير بوابة الدفع، مديران لـconsoles السحابة، المطور مع وصول push إلى الإنتاج، المدير المالي، المدير التنفيذي، ومشغّل نظام النسخ الاحتياطي. اشتر مفتاحين لكل شخص (رئيسي واحتياطي) وافرض MFA بالمفتاح المادي فقط على هذه الحسابات أولاً — هذه الخطوة وحدها تحجب سيناريوهات الاختراق الأكثر كلفة.
