الأمن السيبراني — احمِ نفسك على الإنترنت

1. ما هو الأمن السيبراني؟ — خريطة التهديدات

الهدف: تسمّي التهديدات الشائعة على الأفراد وتعرف أين تقع ثغراتك دون خوف مبالغ ولا استهانة.

الأمن السيبراني (Cybersecurity) في حياة الفرد مجموعة عادات وإعدادات تحمي ثلاثة أشياء: أجهزتك، وحساباتك، وبياناتك. لا يحتاج إلى خلفية تقنية؛ من يملك هاتفاً عليه واتساب وتطبيق بنك يمارسه كل يوم، انتبه لذلك أم لم ينتبه. والفرق بين شخص محمي وآخر مكشوف نادراً ما يكون برنامجاً غالي الثمن، وغالباً ما يكون خمس أو ست عادات صغيرة يطبقها الأول ويتجاهلها الثاني. يبني هذا المسار تلك العادات واحدة بعد الأخرى، ويختم بخطة مكتوبة تطبقها أنت وأسرتك.

خريطة من ثلاث طبقات:
• الجهاز: الهاتف واللابتوب والتابلت والراوتر. أخطاره: ضياعه بلا قفل شاشة، أو تثبيت تطبيق خبيث، أو تأجيل التحديثات شهوراً.
• الحساب: البريد وواتساب وفيسبوك وتطبيق البنك والمحفظة الإلكترونية. خطره الأكبر أن يدخله شخص آخر ويتصرف باسمك أمام أهلك وعملائك.
• البيانات: الصور والمستندات وصورة البطاقة الشخصية ومحادثات العمل. أخطارها: التسريب، أو الضياع التام حين لا توجد نسخة احتياطية.

كيف تحدث أغلب الاختراقات التي تصيب الأفراد؟ تركّز إرشادات المركز الوطني البريطاني للأمن السيبراني (NCSC) ووكالة CISA الأمريكية للأفراد على عادات محددة: كلمات مرور طويلة ومنفصلة، والتحقق بخطوتين، وتحديث البرامج، والنسخ الاحتياطي، والانتباه للرسائل المريبة. السبب أن خداع إنسان أسهل وأرخص من كسر نظام مشفّر. يسمى هذا الأسلوب الهندسة الاجتماعية (Social Engineering): يقنعك المهاجم بأن تسلّمه المفتاح بنفسك، برسالة أو مكالمة أو صفحة مزيفة.

حالة تخيّلية من واقع مصري مألوف: يدير كريم محل إكسسوارات موبايل في طنطا، ويستقبل الطلبات على واتساب بيزنس. وصلته رسالة من رقم صديق قديم: «معلش بعتلك كود من ستة أرقام بالغلط، ابعتهولي». بعد ثوانٍ وصلته فعلاً رسالة SMS فيها رمز. الرمز كان رمز تفعيل واتساب على رقم كريم نفسه، طلبه المحتال من هاتف آخر. لو أرسله لانتقل حساب المحل إلى المحتال، ومعه قائمة العملاء الذين ستصلهم بعد دقائق طلبات تحويل «عربون» على محفظة إلكترونية. ما أنقذه سؤال واحد: لماذا يرسل إليه أحد رمزاً يخص حسابه هو؟ اتصل بصديقه هاتفياً، فاكتشف أن حساب الصديق هو المسروق أصلاً.

لاحظ مكونات الهجوم: رقم موثوق لأنه حساب صديق مسروق، وطلب يبدو صغيراً، واستعجال يمنعك من التفكير. هذه المكونات الثلاثة ستتكرر في معظم الحيل التي ستقابلها في الدروس التالية، سواء جاءت في رسالة عن شحنة متوقفة، أو مكالمة من «خدمة عملاء البنك»، أو صفحة دفع مزيفة. إذا تعلمت أن تتوقف عند هذه الثلاثة، فقد أغلقت أكثر الأبواب استخداماً.

التوازن مطلوب في الاتجاهين. لا داعي للخوف من استخدام الإنترنت أو تطبيقات البنوك، ولا داعي أيضاً لافتراض أنك «لست مهماً بما يكفي» ليستهدفك أحد. أغلب الهجمات على الأفراد آلية وواسعة: رسالة واحدة تُرسل إلى آلاف الأرقام، وكلمة مرور مسرّبة تُجرّب على مئات المواقع. المهاجم في هذه الحالات يلتقط أي باب مفتوح ولا يعنيه اسم صاحبه.

تقييم ذاتي في خمس دقائق، أجب بنعم أو لا: هل لهاتفك قفل شاشة برمز أو بصمة؟ هل كلمة مرور بريدك غير مستخدمة في أي موقع آخر؟ هل فعّلت التحقق بخطوتين على البريد وواتساب؟ هل يحدّث هاتفك نفسه تلقائياً؟ هل توجد نسخة من صورك ومستنداتك المهمة خارج الهاتف؟ كل «لا» هنا يقابلها درس في هذا المسار، وترتيب الدروس يبدأ بما يسد أكبر الثغرات بأقل جهد.

ومتى تطلب المساعدة؟ إن وصلك تهديد أو ابتزاز، أو فقدت الوصول إلى حساب مهم، فلا تتصرف وحدك تحت الضغط. أخبر شخصاً تثق به، وإن كنت دون 18 عاماً فأخبر ولي أمرك، وستجد في درس استرداد الحسابات الجهات الرسمية التي تستقبل البلاغات في مصر وخطوات الاسترداد عبر القنوات الرسمية.

• الأمن الشخصي يحمي ثلاث طبقات: الجهاز والحساب والبيانات.
• أكثر الهجمات على الأفراد تعتمد على خداع الإنسان، وتسمى الهندسة الاجتماعية.
• الرقم الموثوق والطلب الصغير والاستعجال ثلاث علامات تتكرر في أغلب الحيل.
• الهجمات آلية وواسعة، فلا أحد «غير مهم بما يكفي» ليكون هدفاً.

للاستزادة: NCSC: نصائح الأمان للأفراد · CISA: Secure Our World · FTC: كيف تتجنب الاحتيال

2. كلمات المرور والمصادقة الثنائية (2FA)

الهدف: تبني كلمات مرور طويلة ومنفصلة، وتستخدم مدير كلمات مرور، وتفعّل التحقق بخطوتين ومفاتيح المرور على الحسابات المهمة.

تُسرق كلمات المرور غالباً بثلاث طرق: التخمين الآلي لكلمات شائعة مثل 123456 أو اسم الشخص مع تاريخ ميلاده، والتسريب من موقع اخترقه أحدهم ثم تجربة الكلمة نفسها على مواقع أخرى، والخداع الذي يجعلك تكتبها بنفسك في صفحة مزيفة. كل طريقة تحتاج علاجاً مختلفاً، ولهذا لا تكفي «كلمة سر قوية» وحدها، ويحتاج الأمر إلى ثلاث طبقات تعمل معاً.

العلاج الأول: الطول. تنص إرشادات المعهد الوطني الأمريكي للمعايير والتقنية (NIST) في الإصدار الرابع من وثيقة SP 800-63B على ألا تقل كلمة المرور المستخدمة وحدها عن 15 حرفاً، وعلى عدم فرض خليط إجباري من الرموز، وعدم إجبار المستخدم على تغييرها دورياً إلا عند وجود دليل على اختراقها. وينصح المركز البريطاني NCSC بطريقة «ثلاث كلمات عشوائية»: اجمع ثلاث كلمات لا رابط بينها، مثل قطار وبرتقال وسحابة، واكتبها متصلة، وأضف رقماً أو رمزاً إن طلب الموقع ذلك. النتيجة طويلة وسهلة الحفظ وصعبة التخمين، بعكس كلمة مثل Ahmed2009! التي تبدو معقدة لكنها مبنية على معلومات يعرفها كثيرون.

العلاج الثاني: كلمة منفصلة لكل حساب. حين يُسرّب موقع تسوق صغير قاعدة بياناته، تُجرّب أزواج البريد وكلمة المرور المسرّبة آلياً على Gmail وفيسبوك وتطبيقات البنوك. يسمى هذا حشو بيانات الاعتماد (Credential Stuffing)، ولذلك قد يكون تكرار الكلمة أخطر من ضعفها. أهم حساب يستحق كلمة منفصلة هو البريد الإلكتروني، لأنه الطريق الذي تُعاد منه كلمات مرور حساباتك الأخرى.

لا أحد يحفظ أربعين كلمة طويلة مختلفة، وهنا يأتي مدير كلمات المرور (Password Manager): تطبيق يولّد كلمة عشوائية لكل موقع، ويخزنها مشفرة، ويملؤها تلقائياً في الموقع الصحيح فقط. ميزة جانبية مهمة: المدير لا يقترح كلمة مرور بنكك على نطاق مزيف يشبهه، فيلفت نظرك إلى صفحة التصيد. من الخيارات المعروفة Bitwarden و1Password ومدير كلمات المرور المدمج في Google وApple. تبقى كلمة واحدة تحفظها بنفسك هي الكلمة الرئيسية للمدير، فاجعلها عبارة طويلة لا تستخدمها في أي مكان آخر.

العلاج الثالث: عامل ثانٍ. المصادقة الثنائية أو التحقق بخطوتين (2FA) تطلب دليلاً إضافياً بعد كلمة المرور، والطرق ليست متساوية في القوة:
• رسالة SMS: أفضل كثيراً من لا شيء، لكن صاحبها قد يُخدع لإرسال الرمز، وقد يستخرج محتال شريحة بديلة برقمه.
• تطبيق مصادقة مثل Google Authenticator أو Microsoft Authenticator: يولّد رمزاً يتغير كل 30 ثانية على هاتفك دون حاجة إلى شبكة.
• مفتاح مرور (Passkey) أو مفتاح أمان مادي: الأقوى ضد التصيد، لأن الجهاز لا يوقّع إلا للموقع الحقيقي الذي أُنشئ له المفتاح.

مفاتيح المرور مبنية على معايير تحالف FIDO، وتعتمد على زوج من المفاتيح: مفتاح خاص يبقى في هاتفك أو في مدير كلمات المرور، ومفتاح عام يحفظه الموقع. تفتحها بالبصمة أو بقفل الشاشة، ولا توجد كلمة تُكتب فتُسرق أو تُسرّب من خوادم الموقع. تدعمها حسابات Google وApple وMicrosoft وعدد متزايد من المواقع؛ إن عرض عليك موقع إنشاء مفتاح مرور فوافق، واحتفظ بطريقة استرداد احتياطية تحسباً لضياع الهاتف.

خطوات عملية على حساب Google، وهو البداية المنطقية لأنه بريدك غالباً:
1) افتح myaccount.google.com ثم قسم «الأمان».
2) اختر «التحقق بخطوتين» وأضف رقم هاتفك كوسيلة أولى.
3) أضف تطبيق مصادقة أو مفتاح مرور كوسيلة أقوى.
4) احصل على الرموز الاحتياطية (Backup codes) واحفظها مطبوعة في مكان آمن، فهي ما ينقذك إن ضاع الهاتف.
5) كرر الفكرة على واتساب: الإعدادات ثم الحساب ثم «التحقق بخطوتين»، واختر رمزاً من ستة أرقام لا يعرفه غيرك.

قاعدة بلا استثناء: رمز التحقق (OTP) الذي يصلك يخصك وحدك. البنك وشركة الاتصالات وواتساب لا يحتاجون منك رمزاً أرسلوه هم إليك، ومن يطلبه في مكالمة أو رسالة يحاول الدخول إلى حسابك في تلك اللحظة.

• الطول أهم من التعقيد: 15 حرفاً على الأقل للكلمة المستخدمة وحدها، أو ثلاث كلمات عشوائية.
• كلمة منفصلة لكل حساب تمنع حشو بيانات الاعتماد، والبريد أولها.
• مدير كلمات المرور يولّد ويحفظ ويرفض الملء على النطاقات المزيفة.
• تطبيق المصادقة أقوى من SMS، ومفتاح المرور أقوى منهما ضد التصيد.
• رمز التحقق لا يُعطى لأحد مهما كانت صفته.

للاستزادة: NCSC: ثلاث كلمات عشوائية · NIST SP 800-63B: إرشادات المصادقة · Google: تفعيل التحقق بخطوتين · FIDO Alliance: مفاتيح المرور

3. التصيّد Phishing — لا تنقر بسرعة

الهدف: تميّز رسائل الاحتيال عبر البريد وSMS وواتساب والمكالمات قبل أن تضغط أو تعطي رمزاً أو تحوّل مالاً.

التصيّد (Phishing) رسالة أو مكالمة أو صفحة تنتحل جهة تثق بها لتدفعك إلى كشف بيانات أو دفع مال. حين يصل عبر الرسائل النصية يسمى أحياناً Smishing، وحين يصل عبر المكالمات يسمى Vishing. القناة تتغير والحيلة واحدة تقريباً: جهة مألوفة، وسبب مقنع، وضغط وقت يمنعك من التحقق.

أربعة سيناريوهات تتكرر في مصر والمنطقة:
1) «شحنتك متوقفة»: رسالة SMS عن رسوم صغيرة لتسليم طرد، ومعها رابط. العلامة: نطاق لا علاقة له بشركة الشحن، ومبلغ تافه يغريك بإدخال بيانات البطاقة كاملة.
2) «معاك خدمة عملاء البنك»: مكالمة تقول إن بطاقتك ستُوقف أو إن هناك عملية مشبوهة، وتطلب رمز التحقق «لإلغائها». العلامة: طلب الرمز نفسه، فالبنك لا يحتاج رمزاً أرسله هو إليك.
3) «حوّلت لك بالغلط»: رسالة تبدو صادرة عن محفظة إلكترونية أو تطبيق تحويل تقول إن مبلغاً وصلك، يتبعها اتصال يرجوك إعادته. العلامة: الرسالة نصية من رقم عادي، والرصيد داخل التطبيق الرسمي لم يتغير.
4) «مبروك كسبت»: جائزة أو وظيفة أو قرض سريع بشرط دفع «رسوم إدارية» أو إرسال صورة البطاقة الشخصية. العلامة: مسابقة لم تشترك فيها، ودفع مطلوب قبل أي خدمة.

القاسم المشترك أن كل سيناريو يطلب منك فعلاً واحداً من ثلاثة: الضغط على رابط، أو إعطاء رمز، أو تحويل مال. القاعدة التي تحميك من الأربعة معاً: لا تتصرف من داخل الرسالة نفسها. افتح تطبيق البنك أو المتجر أو المحفظة بنفسك، أو اتصل بالرقم المطبوع على ظهر بطاقتك، وتحقق من هناك. إن كانت المشكلة حقيقية فستجدها في التطبيق الرسمي أيضاً.

كيف تقرأ الرابط؟ ابحث عن النطاق الحقيقي في الجزء الواقع بين https:// وأول شرطة مائلة / بعدها، وركّز على نهاية هذا الجزء، لأن المحتال يتحكم في بدايته كما يشاء. النطاق الفعلي هو آخر مقطعين عادةً، أو آخر ثلاثة مع النطاقات الوطنية المركبة مثل nbe.com.eg للبنك الأهلي المصري وmcit.gov.eg لوزارة الاتصالات وتكنولوجيا المعلومات. في رابط مثل nbe.com.eg.secure-update.top/login النطاق الحقيقي هو secure-update.top، أما «nbe.com.eg» في أوله فتمويه. وانتبه للحروف المتشابهة، مثل rn التي تبدو m، والرقم 1 مكان الحرف l.

القفل أو رمز الإعدادات بجانب شريط العنوان يعني أن الاتصال مشفر فقط، ولا يشهد بأن صاحب الموقع صادق؛ صفحات التصيد تحصل على شهادات HTTPS مجانية مثل أي موقع آخر. على الهاتف اضغط مطولاً على الرابط لترى عنوانه كاملاً قبل فتحه، وعلى الكمبيوتر مرّر المؤشر فوقه دون ضغط. ومع أدوات الذكاء الاصطناعي صارت رسائل الاحتيال أقل أخطاءً لغوية، فلا تعتمد على الإملاء الركيك وحده علامةً.

إن ضغطت بالفعل، فهذا ترتيب الاستجابة بحسب ما حدث:
• أدخلت كلمة مرور: غيّرها فوراً من التطبيق أو الموقع الرسمي، وفي أي حساب يشاركها، وفعّل التحقق بخطوتين.
• أدخلت بيانات بطاقة: اتصل ببنكك على رقمه الرسمي لإيقاف البطاقة، وراجع آخر العمليات.
• أعطيت رمز تحقق: اعتبر الحساب المرتبط به مخترقاً، وابدأ خطوات الاسترداد في الدرس السابع.
• نزّلت ملفاً أو تطبيقاً: افصل الإنترنت واحذفه، ثم اتبع خطوات الفحص في درس البرمجيات الخبيثة.

وأخيراً أبلغ: زر «الإبلاغ عن تصيد احتيالي» في Gmail، و«حظر وإبلاغ» في واتساب، وإبلاغ بنكك عن الرقم الذي اتصل بك. البلاغ يساعد المنصات على إيقاف الحملة قبل أن تصل إلى غيرك. والإحراج من الوقوع في الفخ لا يستحق أن يؤخر خطوات الحماية دقيقة واحدة؛ هذه الحيل مصممة باحتراف لتخدع أشخاصاً حذرين.

• كل حيلة تطلب واحداً من ثلاثة: ضغط رابط، أو إعطاء رمز، أو تحويل مال.
• تحقق دائماً من خارج الرسالة: التطبيق الرسمي أو الرقم المطبوع على البطاقة.
• النطاق الحقيقي في نهاية اسم الموقع، والقفل يعني التشفير لا الصدق.
• بعد الضغط بالخطأ: غيّر، أوقف، استرد، ثم أبلغ.

للاستزادة: NCSC: كيف تكتشف التصيد وتبلغ عنه · Gmail: تجنّب رسائل التصيد والإبلاغ عنها · FTC: رسائل SMS الاحتيالية · Microsoft: احمِ نفسك من التصيد

4. الخصوصية — من يرى ماذا؟

الهدف: تضبط إعدادات الخصوصية على المنصات الشائعة وتراجع منشوراتك قبل نشرها.

الخصوصية على الشبكات الاجتماعية سؤالان منفصلان: من يستطيع أن يرى ما تنشره؟ وماذا يستطيع أن يستنتج منه؟ الأول تجيب عنه الإعدادات، والثاني تجيب عنه عادات النشر، وكلاهما مطلوب. أي منشور قد يُلتقط بلقطة شاشة أو يعاد نشره قبل أن تحذفه، فالقرار الحقيقي يُتخذ قبل الضغط على «نشر».

تجميع المعلومات (Aggregation) هو الخطر الذي يغفل عنه أغلب الناس. منشور واحد يبدو بريئاً، لكن المتابع الصبور يجمع: صورة بزي المدرسة أو بطاقة العمل تكشف المكان، وستوري «في الجيم كل أحد وثلاثاء الساعة 7» تكشف الموعد، وصورة من الشرفة يظهر فيها اسم الشارع تكشف العنوان. من هذه الثلاثة يعرف غريب أين تكون ومتى يكون بيتك فارغاً. والتجميع نفسه يخدم انتحال الشخصية: اسم والدتك وتاريخ ميلادك واسم مدرستك الأولى هي إجابات أسئلة الأمان في بعض المواقع القديمة.

إعادة كتابة منشور قبل نشره:
قبل: «أخيراً سافرنا الغردقة أسبوعين! البيت في المعادي فاضي والقطة عند خالتي» مع صورة لبطاقة صعود الطائرة.
بعد: صور الرحلة تُنشر بعد العودة، دون ذكر مدة الغياب أو اسم الحي، وبطاقة الصعود لا تُنشر لأن الرمز الشريطي عليها قد يكشف رقم الحجز وبيانات المسافر.
الفرق: الذكرى الجميلة نفسها، لكن بلا موعد غياب ولا عنوان ولا بيانات قابلة للاستغلال.

الموقع الجغرافي مسألة منفصلة. الصورة التي يلتقطها الهاتف قد تحمل داخل ملفها بيانات وصفية (EXIF) تشمل إحداثيات مكان التصوير إذا كان إذن الموقع مفعّلاً للكاميرا. بعض المنصات تحذف هذه البيانات عند الرفع، لكن إرسال الصورة كملف أو مرفق بريد قد يبقيها كما هي. الحل البسيط أن توقف إذن الموقع لتطبيق الكاميرا من إعدادات الخصوصية في أندرويد أو iPhone، ما لم تكن تحتاجه فعلاً لتنظيم صور الرحلات.

جولة إعدادات في 15 دقيقة على فيسبوك أو إنستغرام أو تيك توك:
• الجمهور الافتراضي للمنشورات: الأصدقاء أو المتابعون الموثوقون بدلاً من العام.
• الإشارات (Tags): مراجعة يدوية قبل ظهورك في منشورات الآخرين.
• الرسائل من الغرباء: تذهب إلى طلبات منفصلة أو تُمنع.
• رقم الهاتف والبريد: مخفيان عن الملف العام، وغير مستخدمين للعثور عليك إن كانت المنصة تتيح ذلك.
• التطبيقات والمواقع المرتبطة: احذف اختبارات «أي شخصية أنت؟» وكل ما سجّلت فيه بحسابك ولم تعد تستخدمه.

ما لا يُنشر علناً أبداً: صور البطاقة الشخصية أو جواز السفر أو رخصة القيادة، وإيصالات التحويل التي تظهر فيها أرقام الحسابات، ولقطات المحادثات الخاصة مع آخرين. وإن طلبت منك جهة صورة بطاقتك عبر واتساب، فتأكد أنها جهة رسمية تتعامل معها فعلاً، واكتب على الصورة غرضها وتاريخها، مثل «لفتح حساب في بنك كذا فقط»، فيصعب إعادة استخدامها في احتيال آخر.

لأصحاب المشروعات الصغيرة حالة خاصة: صفحة المتجر يجب أن تكون عامة، لكن حسابك الشخصي لا يلزم أن يكون كذلك. افصل بينهما، واستخدم رقماً أو بريداً مخصصاً للعمل، حتى لا يصل كل عميل إلى صور أسرتك وتفاصيل يومك.

وخصوصية الآخرين جزء من خصوصيتك: لا تنشر صورة صديق أو قريب، خاصة الأطفال، دون إذن أصحابها أو أهلهم. وراجع إعداداتك كل ثلاثة أشهر وبعد كل تحديث كبير للتطبيق، لأن المنصات تضيف ميزات جديدة قد تكون مفعّلة تلقائياً.

• الإعدادات تحدد من يرى، وعادات النشر تحدد ما يمكن استنتاجه.
• تجميع منشورات بريئة قد يكشف عنوانك وجدولك.
• أوقف إذن الموقع للكاميرا، وانشر صور السفر بعد العودة.
• صور الوثائق الرسمية لا تُنشر، وتُرسل للجهات الرسمية فقط مع كتابة الغرض عليها.

للاستزادة: NCSC: استخدام الشبكات الاجتماعية بأمان · Apple: التحكم في الوصول إلى الموقع على iPhone · Google: فحص الأمان والتطبيقات المرتبطة

5. الواي فاي العام و VPN — مقدمة

الهدف: تفهم مخاطر الشبكات العامة ومتى يفيد VPN، وتطبق قواعد الدفع الإلكتروني الآمن.

شبكة الواي فاي في المقهى أو المطار أو قاعة الجامعة مريحة، لكنك تشاركها مع غرباء ولا تعرف من يدير جهاز الراوتر. الخطر الواقعي اليوم أقل مما كان قبل سنوات، لأن أغلب المواقع والتطبيقات تشفّر الاتصال ببروتوكول HTTPS، فلا يستطيع من على الشبكة قراءة محتوى صفحاتك. لكن تبقى ثغرات محددة تستحق أن تعرفها.

ثلاثة مخاطر حقيقية على الشبكات العامة:
• الشبكة التوأم المزيفة (Evil Twin): محتال ينشئ شبكة باسم يشبه اسم المكان، مثل «Airport_Free_WiFi»، فيمر اتصالك عبر جهازه.
• صفحة الدخول المريبة (Captive Portal): الصفحة التي تظهر قبل الاتصال قد تطلب تثبيت تطبيق أو «شهادة أمان» أو كلمة مرور فيسبوك. شبكة المقهى لا تحتاج أياً من ذلك.
• هجوم الوسيط (Man-in-the-Middle): وضع جهاز بينك وبين الإنترنت لرؤية أو تعديل أي اتصال غير مشفر، وهذا ما يجعل المواقع القديمة بلا HTTPS خطرة على الشبكات العامة.

جدول قرار مختصر بالكلمات: تصفح الأخبار ومشاهدة الفيديو على شبكة عامة لا مشكلة فيه. تسجيل الدخول إلى بريدك عبر التطبيق الرسمي مقبول ما دام التحقق بخطوتين مفعّلاً. أما فتح تطبيق البنك أو إدخال بيانات بطاقة، فالأفضل تأجيله أو التحويل إلى بيانات الهاتف، لأن شبكة المشغل لا يشاركك فيها الجالسون في المقهى نفسه. وإذا ظهر تحذير من المتصفح بأن الاتصال غير آمن أو أن الشهادة غير صالحة على موقع مهم، فلا تتجاوزه على شبكة عامة أبداً.

ما الذي يفعله VPN؟ الشبكة الافتراضية الخاصة (VPN) تنشئ نفقاً مشفراً بين جهازك وخادم مزود الخدمة. صاحب الشبكة العامة يرى أنك متصل بذلك الخادم فقط، والمواقع ترى عنوان IP الخاص بالخادم. لكنها لا تمنعك من كتابة كلمة مرورك في صفحة تصيد، ولا تزيل برنامجاً خبيثاً، ويرى مزود الخدمة نفسه حركتك بدلاً من صاحب الشبكة. لذلك اختيار المزود قرار ثقة: تجنب تطبيقات VPN المجانية المجهولة التي تطلب صلاحيات واسعة، واختر مزوداً معروفاً بسياسة خصوصية واضحة، وتأكد أن استخدامه يتوافق مع قوانين بلدك وسياسة جهة عملك.

الدفع الإلكتروني الآمن له قواعده الخاصة، سواء كنت على شبكة عامة أو في البيت:
• ادفع من التطبيق الرسمي للمتجر أو من موقعه بعد كتابة عنوانه بنفسك، وتجنب روابط الدفع القادمة في رسائل أو إعلانات.
• خصص للشراء عبر الإنترنت بطاقة برصيد محدود، كالبطاقات مسبقة الدفع أو الافتراضية إن كان بنكك يوفرها، فإن سُرّبت لا تصل الخسارة إلى حسابك الرئيسي.
• فعّل إشعارات العمليات الفورية من تطبيق البنك، لتعرف أي خصم غريب خلال دقائق.
• رمز CVV والرقم السري ورمز التحقق لا تُقال لأحد في مكالمة، ولا تُكتب في نموذج وصلك عبر واتساب.
• في البيع والشراء بين الأفراد على مجموعات فيسبوك، تجنب التحويل المسبق لشخص لا تعرفه، وفضّل المعاينة والدفع عند الاستلام.

مثال تطبيقي: تجلس سلمى في كافيه بالمنصورة وتريد دفع اشتراك منصة تعليمية. تجد شبكتين: «Cafe_Mansoura» و«Cafe_Mansoura_Free». تسأل العامل فيخبرها بأن الأولى هي الصحيحة وتطلب كلمة مرور. تتصفح عليها، لكنها عند الدفع تطفئ الواي فاي وتكمل ببيانات الهاتف، وتفتح موقع المنصة بكتابة عنوانه، وتدفع ببطاقة الشراء الإلكتروني ذات الرصيد المحدود. بعد ثوانٍ يصلها إشعار البنك، فتطابق المبلغ مع سعر الاشتراك وتنتهي العملية دون قلق.

إعدادات تستحق التعديل اليوم: أوقف الاتصال التلقائي بالشبكات المفتوحة في هاتفك، واحذف من قائمة الشبكات المحفوظة الشبكات العامة التي لن تعود إليها، لأن الهاتف قد يتصل تلقائياً بأي شبكة تحمل الاسم نفسه. وفي البيت غيّر كلمة مرور الراوتر الافتراضية واستخدم تشفير WPA2 أو WPA3 من لوحة إدارته.

• HTTPS خفّض مخاطر الواي فاي العام، لكن الشبكات المزيفة وصفحات الدخول المريبة باقية.
• البنك والدفع على بيانات الهاتف أسلم من شبكة المقهى.
• VPN ينقل ثقتك من صاحب الشبكة إلى مزود الخدمة، ولا يحمي من التصيد.
• بطاقة برصيد محدود وإشعارات فورية تحدّ خسارة أي تسريب.

للاستزادة: FTC: هل شبكات الواي فاي العامة آمنة؟ · NCSC: التسوق والدفع بأمان عبر الإنترنت · Google Chrome: التحقق من أمان اتصال الموقع

6. البرمجيات الخبيثة — فيروسات وتروجان

الهدف: تتجنب التحميلات الخطرة، وتفعّل التحديثات والحماية المدمجة، وتشخّص الإصابة المحتملة خطوة بخطوة.

البرمجيات الخبيثة (Malware) اسم جامع لكل برنامج صُمم ليضرك: الفيروس الذي يلتصق بملفات أخرى، وحصان طروادة (Trojan) الذي يتنكر في برنامج مفيد، وبرامج الفدية (Ransomware) التي تشفّر ملفاتك وتطلب مالاً، وبرامج التجسس (Spyware) التي تسرق كلمات المرور والرسائل بصمت. وعلى الهواتف ينتشر نوع إضافي: تطبيقات تبدو عادية لكنها تطلب صلاحية قراءة الرسائل أو صلاحية «تسهيل الاستخدام» (Accessibility) لتلتقط رموز التحقق وتتحكم في الشاشة.

من أين تدخل؟ غالباً من باب فتحه المستخدم بنفسه: برنامج أو لعبة «مكركة» (Crack)، وأزرار تحميل مزيفة في مواقع التحميل، وملفات APK تصل على واتساب أو تيليجرام باسم «تحديث تطبيق البنك» أو «فاتورة»، وفلاشة مجهولة المصدر، ومرفقات بريد غير متوقعة. وعلى أندرويد، أي طلب لتفعيل «تثبيت التطبيقات من مصادر غير معروفة» علامة توقف، إلا إذا كنت تعرف تماماً ماذا تثبت ولماذا.

التحديثات خط الدفاع الأرخص. كثير من التحديثات يسد ثغرات أمنية معروفة، وبعد نشر تفاصيل الثغرة يصبح استغلالها أسهل على أجهزة من لم يحدّث. لهذا تضع CISA وNCSC تحديث البرامج ضمن العادات الأساسية للأفراد. فعّلها مرة واحدة:
• أندرويد: الإعدادات ثم قسم النظام أو «حول الهاتف» ثم تحديث البرامج، ويختلف المسار قليلاً بين الشركات المصنعة. وحدّث التطبيقات من Google Play.
• iPhone: الإعدادات ثم «عام» ثم «تحديث البرامج»، وفعّل التحديثات التلقائية.
• ويندوز: الإعدادات ثم Windows Update، ولا تؤجل إعادة التشغيل أسابيع.
• المتصفح: Chrome وEdge وFirefox تنزّل تحديثاتها تلقائياً، لكنها تحتاج إعادة فتح لتطبيقها.
• الراوتر: كثيرون ينسونه؛ ادخل إلى لوحة إدارته أو اسأل مزود الإنترنت عن تحديث برنامجه الثابت (Firmware).

إن توقف هاتفك عن تلقي تحديثات الأمان لأن الشركة المصنعة أنهت دعمه، فهو يعمل لكن ثغراته الجديدة لن تُسد. استخدمه لمهام بسيطة كالموسيقى أو الكاميرا، وانقل تطبيق البنك والبريد والمحفظة إلى جهاز ما زال يتلقى التحديثات.

سجل تشخيص لحالة تخيّلية: لاحظ عمر، طالب في أسيوط، أن هاتفه الأندرويد صار يعرض إعلانات ملء الشاشة حتى على الشاشة الرئيسية.
الملاحظة: الإعلانات بدأت بعد تثبيت تطبيق «تسريع الهاتف» من رابط على تيليجرام.
الخطوة 1: فتح الإعدادات ثم التطبيقات وترتيبها حسب تاريخ التثبيت؛ ظهر التطبيق ومعه تطبيق آخر بلا أيقونة لم يثبته عمداً.
الخطوة 2: مراجعة «الوصول الخاص للتطبيقات»؛ التطبيق الثاني يملك صلاحية تسهيل الاستخدام وصلاحية الظهور فوق التطبيقات الأخرى.
الخطوة 3: سحب الصلاحيات، ثم حذف التطبيقين، ثم تشغيل فحص Google Play Protect من متجر Play.
الخطوة 4: تغيير كلمة مرور البريد وفيسبوك من لابتوب سليم، لأن صلاحية تسهيل الاستخدام كانت تسمح بقراءة الشاشة.
النتيجة: اختفت الإعلانات، ولم تظهر عمليات دخول غريبة في سجل نشاط الحسابات.

الحماية المدمجة تكفي أغلب المستخدمين إذا تُركت تعمل: Microsoft Defender ضمن تطبيق «أمن Windows»، وGatekeeper وXProtect في macOS، وGoogle Play Protect في أندرويد. لا حاجة إلى تثبيت ثلاثة برامج حماية معاً، فقد تتعارض وتبطئ الجهاز. والطلب الذي يجب أن يثير شكك فوراً هو أي موقع أو ملف يطلب منك إيقاف الحماية «لأنها تعطي إنذاراً خاطئاً»؛ هذه بالضبط الخطوة التي يحتاجها المهاجم.

برامج الفدية حالة خاصة. افصل الجهاز عن الشبكة فوراً لمنع انتشارها إلى أجهزة أخرى أو إلى المجلدات المتزامنة، ولا تدفع؛ فالدفع لا يضمن استرجاع الملفات وقد يجعلك هدفاً لطلبات جديدة. ابحث في موقع No More Ransom، وهو مبادرة تشارك فيها جهات إنفاذ قانون وشركات أمن، عن أداة فك تشفير لنوع البرنامج، واستعد ملفاتك من النسخة الاحتياطية كما سترى في الدرس الثامن.

• أغلب الإصابات تدخل من باب فتحه المستخدم: Crack أو APK من رابط أو مرفق غير متوقع.
• التحديث التلقائي للنظام والتطبيقات والمتصفح والراوتر يسد ثغرات معروفة.
• صلاحية تسهيل الاستخدام في تطبيق غير معروف علامة خطر كبيرة.
• أي طلب لإيقاف الحماية علامة هجوم، وفدية الملفات لا تُدفع.

للاستزادة: NCSC: ثبّت أحدث التحديثات · Google Play Protect · Microsoft: تطبيق أمن Windows · No More Ransom: أدوات فك تشفير برامج الفدية

7. استرداد الحسابات — ماذا لو سُرقت؟

الهدف: تجهّز وسائل الاسترداد مسبقاً، وتعرف خطوات استعادة البريد وواتساب والشبكات الاجتماعية، وكيف تتصرف عند الابتزاز.

استرداد الحساب المسروق يعتمد في الأساس على ما جهزته قبل السرقة. المنصات الكبرى تعيد الحساب لمن يثبت ملكيته، وأقوى إثبات وسيلة استرداد ما زالت بيدك: بريد احتياطي، أو رقم هاتف محدّث، أو رموز احتياطية، أو جهاز سبق أن سجلت منه الدخول مرات كثيرة.

قبل أي حادثة، في عشرين دقيقة:
• تأكد أن بريد الاسترداد في Google أو Outlook بريد تستطيع فتحه اليوم، وأن رقم الهاتف المسجل هو رقمك الحالي.
• احصل على الرموز الاحتياطية للتحقق بخطوتين، واطبعها أو اكتبها على ورقة في مكان آمن بالبيت، وتجنب حفظها كصورة على الهاتف نفسه.
• فعّل التحقق بخطوتين في واتساب، وأضف إليه بريداً إلكترونياً يساعدك إن نسيت الرمز.
• راجع قائمة الأجهزة المتصلة بحساب Google وفيسبوك، وأخرج أي جهاز لا تعرفه.

سيناريو محلول — سرقة حساب واتساب: أعطت منى رمز التفعيل ردّاً على رسالة «بعتلك كود بالغلط»، فخرجت من حسابها وظهرت لها رسالة بأن رقمها سُجّل على جهاز آخر.
1) أعادت فتح واتساب على هاتفها وأدخلت رقمها، وطلبت رمز تفعيل جديداً وصلها بالـSMS. تسجيل الرقم على هاتفها يُخرج الهاتف الآخر، لأن الحساب يعمل على هاتف رئيسي واحد في الوقت نفسه.
2) طلب منها التطبيق رمز التحقق بخطوتين الذي فعّله المحتال؛ ولأنها لا تعرفه، اتبعت تعليمات مركز مساعدة واتساب الرسمي، ولم تدفع لأي «خبير استرجاع».
3) بعد عودة الحساب فعّلت التحقق بخطوتين برمزها هي، وراجعت «الأجهزة المرتبطة» وأزالت أي جلسة واتساب ويب لا تعرفها.
4) نشرت في حالتها رسالة لجهات الاتصال: «حسابي سُرق لساعات، أي طلب فلوس أو كود باسمي تجاهلوه».

في حسابات Google استخدم صفحة استرداد الحساب الرسمية من جهاز ومكان سبق أن دخلت منهما، وأجب بأكبر قدر من الدقة. وإن نجحت فاتبع دليل Google لتأمين الحساب المخترق: غيّر كلمة المرور، وراجع طرق الاسترداد التي ربما غيّرها المحتال، واحذف أي قاعدة إعادة توجيه للبريد أضافها ليستمر في تلقي رسائلك. وفي إنستغرام ابدأ من صفحة instagram.com/hacked، وابحث في بريدك عن رسالة تغيير البريد المرتبط بالحساب، فكثيراً ما تحتوي رابطاً لإلغاء التغيير وتأمين الحساب.

احذر الاحتيال الثاني: صفحات وحسابات تعلن «نسترجع أي حساب مسروق خلال ساعة» مقابل مبلغ. هذه الصفحات لا تملك أي صلة بالمنصات، وكثير منها يأخذ المال أو يطلب كلمات مرور حسابات أخرى. الاسترداد مجاني ويمر عبر القنوات الرسمية للمنصة فقط.

إن كان هناك ابتزاز بصور أو محادثات: لا تدفع ولا ترسل أي محتوى إضافي، فالدفع غالباً يفتح باب طلبات جديدة. احفظ الأدلة: لقطات شاشة للرسائل، واسم الحساب ورابطه، وأرقام الهواتف والتواريخ. أبلغ المنصة عن الحساب. وفي مصر تتلقى الإدارة العامة لتكنولوجيا المعلومات بوزارة الداخلية بلاغات الجرائم الإلكترونية، ويستقبل خط نجدة الطفل 16000 بلاغات من هم دون 18 عاماً. وأخبر شخصاً بالغاً تثق به؛ العزلة والضغط النفسي هما سلاح المبتز الأساسي.

بعد الاسترداد بأسبوع: راجع سجل النشاط وآخر عمليات الدخول، وتأكد أن المحتال لم يترك بريداً أو رقماً باسمه ضمن وسائل الاسترداد، وغيّر كلمة المرور في أي حساب آخر كان يشارك الكلمة القديمة. ثم دوّن ما حدث وما نجح في خطة الأمان، فالتجربة المكتوبة تختصر الوقت إن تكرر الأمر معك أو مع أحد أفراد أسرتك.

• وسائل الاسترداد المحدّثة والرموز الاحتياطية هي ما يعيد الحساب.
• في واتساب: أعد تسجيل رقمك برمز جديد ثم فعّل التحقق بخطوتين برمزك.
• بعد الاسترداد راجع طرق الاسترداد وقواعد إعادة توجيه البريد والأجهزة المرتبطة.
• صفحات «نسترجع حسابك بمقابل» احتيال ثانٍ، والابتزاز يُبلَّغ عنه ولا يُدفع.

للاستزادة: Google: تأمين حساب مخترق · Google: استرداد حساب Google أو Gmail · NCSC: استرداد حساب مخترق · Instagram: الحساب المخترق · وزارة الداخلية المصرية

8. النسخ الاحتياطي — 3-2-1

الهدف: تطبّق قاعدة 3-2-1 لملفاتك المهمة، وتفرّق بين المزامنة والنسخ الاحتياطي، وتختبر الاستعادة.

قاعدة 3-2-1 هي المرجع الأشهر لتنظيم النسخ الاحتياطي:
• 3 نسخ من البيانات المهمة: الأصل ونسختان.
• 2 نوعان مختلفان من وسائط التخزين، مثل قرص الجهاز وقرص خارجي.
• 1 نسخة خارج المكان، والسحابة أسهل طريقة لتحقيقها.

سبب التنويع أن لكل وسيلة طريقة ضياع مختلفة: الهاتف يُسرق أو يسقط في الماء، والقرص الخارجي يتلف أو يُسرق مع اللابتوب في الحقيبة نفسها، والحساب السحابي قد يُخترق أو تفقد الوصول إليه إن ضاع رقم الهاتف المرتبط به، وبرامج الفدية تشفّر كل ما تصل إليه من الجهاز. الهدف ألا تمسح حادثة واحدة كل النسخ معاً.

حالة توضيحية: مكتب محاسبة صغير في الإسكندرية فيه ثلاثة أجهزة، وملفات العملاء مجمعة على جهاز واحد. صمم صاحبه النظام التالي:
1) مجلد «العملاء» على الجهاز الرئيسي هو الأصل.
2) نسخ تلقائي يومي إلى خدمة سحابية تحفظ إصدارات سابقة للملفات، وهي النسخة الموجودة خارج المكتب.
3) كل خميس نسخة كاملة على قرص خارجي مشفّر يُفصل بعد انتهاء النسخ ويُحفظ في درج مغلق.
4) أول كل شهر يختار ملفاً عشوائياً ويستعيده من كل نسخة ليتأكد أنه يفتح.
بعد عام أصاب برنامج فدية الجهاز الرئيسي. رفعت المزامنة بعض الملفات المشفرة إلى السحابة، لكن ميزة الإصدارات السابقة أعادتها، والقرص الخارجي المفصول لم يُمس أصلاً. خسر المكتب يوم عمل واحداً بدلاً من أرشيف سنوات.

المزامنة (Sync) والنسخ الاحتياطي (Backup) أمران مختلفان. المزامنة تجعل المجلد متطابقاً في كل مكان، فإن حذفت ملفاً أو أفسده برنامج فدية انتقل الحذف أو الفساد إلى السحابة أيضاً. في Google Drive مثلاً تبقى الملفات المحذوفة في سلة المهملات 30 يوماً ثم تُحذف نهائياً، وبعض الخدمات تحفظ إصدارات سابقة لكل ملف. اعرف هذه الإعدادات في خدمتك قبل أن تحتاجها، واحتفظ دائماً بنسخة واحدة غير متصلة بالجهاز.

أدوات متاحة دون تكلفة إضافية في الغالب: في ويندوز تطبيق Windows Backup للنسخ إلى OneDrive، و«محفوظات الملفات» (File History) للنسخ إلى قرص خارجي. في macOS أداة Time Machine للنسخ إلى قرص خارجي. وعلى الهواتف نسخ iCloud في iPhone ونسخ Google One في أندرويد، إضافة إلى تطبيق الصور السحابي. ولمحادثات واتساب إعداد مستقل داخل التطبيق: الإعدادات ثم الدردشات ثم النسخ الاحتياطي للدردشات. تذكر أن المساحة المجانية في الخدمات السحابية محدودة، فراقب امتلاءها حتى لا يتوقف النسخ بصمت.

ماذا تنسخ؟ ما لا يمكن تعويضه: المستندات والمشروعات، والصور العائلية، وملفات العمل، وصور المستندات الرسمية داخل مجلد مشفر. التطبيقات والألعاب يمكن تنزيلها من جديد ولا تستحق المساحة. وشفّر القرص الخارجي إن أمكن، باستخدام BitLocker To Go في إصدارات ويندوز التي تدعمه، أو خيار التشفير عند تهيئة القرص في macOS، حتى لا تتحول الفلاشة الضائعة إلى تسريب لبياناتك.

اختبار الاستعادة هو الجزء الذي يتخطاه الجميع. نسخة لم تجرّب استعادتها قد تكون فارغة أو ناقصة أو تالفة دون أن تعرف. الاختبار بسيط: أنشئ ملفاً تجريبياً، وانتظر حتى يدخل النسخة، ثم احذفه من الجهاز واستعده من السحابة ومن القرص الخارجي، وافتحه لتتأكد أنه سليم. سجّل تاريخ آخر اختبار في خطة الأمان التي ستكتبها في الدرس الأخير.

• ثلاث نسخ، على نوعين من الوسائط، وواحدة خارج المكان.
• المزامنة تنقل الحذف والتشفير، فاحتفظ بنسخة غير متصلة.
• اعرف مدة سلة المهملات والإصدارات السابقة في خدمتك السحابية.
• نسخة لم تُختبر استعادتها لا يُعتمد عليها.

للاستزادة: NCSC: انسخ بياناتك المهمة احتياطياً · Microsoft: النسخ والاستعادة عبر Windows Backup · Apple: النسخ الاحتياطي باستخدام Time Machine · Google Drive: حذف الملفات وسلة المهملات

9. أمان المبرمج المبتدئ — أسرار ومدخلات

الهدف: تتجنب الأخطاء الأمنية الشائعة في المشاريع الصغيرة: الأسرار في الكود، والمدخلات غير المعالجة، وتخزين كلمات المرور.

من يبدأ مشروعاً صغيراً بلغة Python أو PHP أو JavaScript نادراً ما يقع في ثغرة معقدة. الثغرات الشائعة في المشاريع الأولى تأتي من أربع عادات غائبة: أسرار مكتوبة في الكود، ومدخلات تُعرض أو تُنفّذ كما هي، وكلمات مرور تُخزّن بطريقة ضعيفة، ومكتبات قديمة لا تُحدّث. وقائمة OWASP Top 10، وهي المرجع الأشهر لمخاطر تطبيقات الويب، تضع الحقن وإخفاقات التشفير والمكونات المعرضة للخطر ضمن أبرز فئاتها.

مثال يتكرر: طالب يرفع مشروع تخرجه إلى مستودع عام ليضعه في سيرته الذاتية، وفي المستودع ملف إعدادات يحوي مفتاح خدمة سحابية مدفوعة. بعد أيام تصله فاتورة استهلاك لم يقم به، لأن أدوات آلية تمسح المستودعات العامة بحثاً عن المفاتيح. لهذا توفر GitHub ميزة فحص الأسرار (Secret Scanning) التي تنبّه إلى أنماط المفاتيح المعروفة، لكن الوقاية تبدأ قبل الرفع.

قبل وبعد: سر داخل الكود. النسخة الخطرة تكتب المفتاح مباشرة:

API_KEY = "my-secret-key-123"  # سيُرفع مع المستودع

النسخة الآمنة تقرأه من متغير بيئة، وتضع القيمة في ملف .env مستثنى من Git:

import os
API_KEY = os.environ["WEATHER_API_KEY"]

ثم يكفي سطر .env داخل ملف .gitignore حتى لا يدخل الملف أي commit. وإن أردت أن يقرأ Python ملف .env تلقائياً فاستخدم مكتبة مثل python-dotenv، أو صدّر المتغير في الطرفية قبل التشغيل.

إن رفعت مفتاحاً بالخطأ ثم حذفته في commit جديد، فهو ما زال في تاريخ المستودع، وربما التقطته أداة آلية بعد دقائق من النشر. الترتيب الصحيح: ألغِ المفتاح من لوحة الخدمة وأنشئ مفتاحاً جديداً أولاً، ثم نظّف التاريخ باتباع دليل GitHub لإزالة البيانات الحساسة. التنظيف وحده لا يكفي، لأن نسخاً من المستودع ربما أُخذت بالفعل.

قبل وبعد: عرض تعليق زائر في PHP.

echo $comment; // خطر: أي وسم script في التعليق سيعمل في متصفح الزائر
echo htmlspecialchars($comment, ENT_QUOTES, 'UTF-8'); // آمن للعرض داخل HTML

هذه الثغرة اسمها XSS (Cross-Site Scripting): نص يدخله مستخدم فيتحول إلى كود يعمل في متصفحات الآخرين. الدالة htmlspecialchars تحوّل رموزاً مثل < و" إلى صيغة تُعرض كنص ولا تُنفّذ.

أما حقن SQL فيحدث حين تلصق المدخل داخل نص الاستعلام. الحل في PHP هو الاستعلام المُعد (Prepared Statement) عبر PDO:

$stmt = $pdo->prepare('SELECT id, name FROM users WHERE email = ?');
$stmt->execute([$email]);
$user = $stmt->fetch();

تستقبل قاعدة البيانات الاستعلام والقيمة منفصلين، فلا تتحول القيمة إلى أوامر مهما كتب المستخدم فيها.

التنظيف عند العرض لا يغني عن التحقق عند الاستقبال. إن كان الحقل رقم موبايل مصرياً، فارفض أي قيمة لا تتكون من 11 رقماً تبدأ بـ01؛ وإن كان بريداً فاستخدم filter_var($email, FILTER_VALIDATE_EMAIL) في PHP. التحقق بقائمة المسموح (Allow-list) أوضح وأمتن من محاولة حصر كل المدخلات الخطرة الممكنة.

كلمات مرور المستخدمين لا تُخزّن نصاً، ولا ببصمة سريعة مثل MD5 أو SHA-1، لأنها صُممت للسرعة فيسهل تجربة ملايين التخمينات عليها. استخدم دالة مخصصة لكلمات المرور:

$hash = password_hash($password, PASSWORD_DEFAULT);
if (password_verify($input, $hash)) { /* دخول صحيح */ }

تضيف الدالة ملحاً (Salt) عشوائياً تلقائياً وتستخدم خوارزمية بطيئة عمداً، ويشرح دليل OWASP لتخزين كلمات المرور البدائل المناسبة في اللغات الأخرى.

وأخيراً المكتبات والنشر: شغّل npm audit في مشاريع JavaScript لمعرفة الحزم ذات الثغرات المعروفة، وفعّل تنبيهات Dependabot في GitHub لتصلك إشعارات التحديث، وانشر أي موقع عبر HTTPS بشهادة مجانية من Let's Encrypt التي تفعّلها معظم الاستضافات بضغطة. وقبل أول git push ابحث في ملفات المشروع عن كلمات مثل password وapi_key وsecret؛ هذه الدقيقة توفر عليك يوماً من التنظيف. ولتفاصيل أكثر عن Git راجع مسار Git في Mesue Learn.

• الأسرار في متغيرات بيئة وملف .env مستثنى من Git، والمفتاح المسرّب يُلغى أولاً.
• htmlspecialchars عند العرض، واستعلامات مُعدّة مع قاعدة البيانات، وتحقق بقائمة المسموح عند الاستقبال.
• كلمات المرور تُخزّن عبر password_hash، أما MD5 وSHA-1 فلا يصلحان لها.
• npm audit وDependabot وHTTPS المجاني عادات نشر أساسية.

للاستزادة: OWASP Top 10 · OWASP: دليل تخزين كلمات المرور · PHP: password_hash · PHP: الاستعلامات المُعدّة في PDO · GitHub: إزالة البيانات الحساسة من مستودع

10. خطة الأمان الشخصية — المشروع النهائي

الهدف: تكتب خطة أمان من صفحة واحدة قابلة للتحقق، وتتفق مع أسرتك على قواعد مشتركة، وتحدد موعد مراجعتها.

الدروس السابقة تتحول إلى حماية فعلية حين تُكتب في خطة قصيرة يمكن تنفيذها ومراجعتها. المطلوب وثيقة من صفحة واحدة يفهمها أي فرد في الأسرة دون شرح، وتجيب عن سؤالين: ما الذي فعلناه بالفعل؟ وماذا نفعل حين يحدث شيء؟

أقسام الخطة السبعة:
1) الجرد: الأجهزة، والحسابات المهمة مرتبة حسب الضرر لو سُرقت: البريد، ثم واتساب، ثم البنك والمحفظة، ثم الشبكات الاجتماعية.
2) كلمات المرور: هل يوجد مدير كلمات مرور؟ وأي حساب ما زال يشارك كلمته مع غيره؟
3) التحقق بخطوتين ومفاتيح المرور: على أي حساب فُعّل، وبأي طريقة، وأين الرموز الاحتياطية.
4) الأجهزة: قفل الشاشة، والتحديث التلقائي، وتاريخ آخر تحديث للراوتر.
5) النسخ الاحتياطي: ماذا يُنسخ، وإلى أين، ومتى، وتاريخ آخر اختبار استعادة.
6) الدفع: البطاقة المخصصة للشراء الإلكتروني، وإشعارات العمليات، والرقم الرسمي للبنك.
7) الطوارئ: بمن نتصل عند سرقة حساب أو ابتزاز، وروابط صفحات الاسترداد الرسمية.

الفرق بين بند ضعيف وبند جيد هو قابلية التحقق. عبارة «سأهتم بالنسخ الاحتياطي» لا يمكن مراجعتها. أما «مجلد العمل يُنسخ تلقائياً إلى OneDrive، وفي أول جمعة من كل شهر تُنسخ الصور على القرص الخارجي، وآخر اختبار استعادة نجح في 2 أكتوبر» فيجيب عن: ماذا؟ وأين؟ ومتى؟ وهل جُرّب؟ طبّق هذه الأسئلة الأربعة على كل بند قبل اعتماده.

رتّب حسب الأثر. إن كان لديك وقت اليوم لخطوتين فقط، فابدأ بتفعيل التحقق بخطوتين على البريد الرئيسي، ثم تغيير أي كلمة مرور مكررة بين حسابات مهمة. هاتان الخطوتان تسدان طريقين من أكثر طرق سرقة الحسابات شيوعاً: التصيد وحشو بيانات الاعتماد. بعدهما تأتي حماية واتساب برمز التحقق بخطوتين، ثم التحديث التلقائي للأجهزة، ثم النسخ الاحتياطي، ثم مراجعة الخصوصية.

خطة أسرة حسن في الجيزة مثالاً: الأب يستخدم تطبيق البنك، والأم تدير متجراً صغيراً على فيسبوك، والجد يستخدم واتساب فقط، والابنة طالبة جامعية. اتفقوا على ثلاث قواعد مكتوبة على ورقة بجانب الراوتر: لا أحد في الأسرة يطلب رمزاً من أحد؛ وأي طلب مال عاجل يصل برسالة يُؤكَّد بمكالمة على الرقم المحفوظ؛ وأي رسالة فيها رابط دفع تُعرض على الابنة قبل فتحها. وتولت الابنة تفعيل التحقق بخطوتين على واتساب لكل أفراد الأسرة في جلسة واحدة يوم الجمعة.

ومع انتشار أدوات تقليد الأصوات بالذكاء الاصطناعي، لم تعد الرسالة الصوتية دليلاً كافياً على هوية المرسل. الأسلم أن يعاود المتلقي الاتصال بنفسه على الرقم المحفوظ، أو أن تتفق الأسرة على كلمة سر عائلية تُسأل في المواقف العاجلة ولا تُكتب في أي محادثة.

وإن سمعت عن تسريب بيانات في خدمة تستخدمها، فاتبع إرشادات NCSC للأفراد: غيّر كلمة المرور في تلك الخدمة وفي أي مكان يشاركها، وراقب حساباتك وعملياتك المالية، وانتبه لرسائل تصيد تستغل خبر التسريب نفسه لتبدو مقنعة.

المراجعة الدورية: ضع تنبيهاً في التقويم كل ثلاثة أشهر باسم «مراجعة الأمان»، ونفّذ فيه أربعة أشياء: افتح فحص الأمان في حساب Google أو ما يقابله في حساباتك الأخرى، وراجع الأجهزة المتصلة بالحسابات المهمة، واختبر استعادة ملف من النسخة الاحتياطية، واسأل: هل أنشأنا حساباً جديداً مهماً لم يدخل الخطة بعد؟ وأضف بنداً واحداً في كل مراجعة؛ سبعة بنود تُطبّق أنفع من ثلاثين بنداً تُنسى.

• الخطة الجيدة صفحة واحدة، وكل بند فيها يجيب عن: ماذا؟ وأين؟ ومتى؟ وهل جُرّب؟
• ابدأ بالتحقق بخطوتين على البريد وتغيير الكلمات المكررة.
• قواعد الأسرة: لا أحد يطلب رمزاً، والمال العاجل يُؤكَّد بمكالمة على الرقم المحفوظ.
• مراجعة كل ثلاثة أشهر بتنبيه في التقويم تبقي الخطة حية.

للاستزادة: NCSC: نصائح الأمان للأفراد والأسر · NCSC: ماذا تفعل بعد تسريب بيانات · Google: فحص الأمان · CISA: Secure Our World