إرهاق التحقق الثنائي: عندما يصبح زر «موافقة» هو الهجوم
من يملك كلمة مرورك يغرقك بطلبات الدخول حتى تضغط موافقة. أربعة إعدادات توقفه.
المهاجم يملك كلمة المرور بالفعل. يحاول الدخول مرة بعد مرة، وهاتفك يسأل «موافقة؟»، وغالبًا في آخر الليل. عاجلًا أو آجلًا يضغط أحدهم موافقة ليتوقف الإزعاج. كان هذا جزءًا من اختراق Uber عام 2022.
ما يوقفه:
- مطابقة الرقم. يكتب المستخدم الرقم الظاهر على شاشة الدخول، فلا يمكن الموافقة بالخطأ من السرير. جعلتها Microsoft إلزامية في Authenticator عام 2023؛ فعّلها حيثما استطعت.
- اعرض مكان الدخول في الطلب. «من بلد آخر» يجعل الناس يتوقفون.
- نبّه عند الرفض المتكرر. عدة رفضات متتالية تعني أن كلمة المرور معروفة. غيّرها اليوم.
- مفاتيح المرور أو المفاتيح العتادية للمديرين والمالية. لا يوجد زر موافقة يُستغل.
وجملة واحدة للفريق كله: إذا وصلك طلب لم تطلبه، اضغط رفض وأخبر قسم التقنية. لن نطلب منك الموافقة على طلب أبدًا.