"هل تسمح لهذا التطبيق؟": احتيال طلب الأذونات الذي يتجاوز كلمة المرور والتحقق بخطوتين

يصل يوسف رسالة على واتساب من شخص يقدّم نفسه كصحفي: “سلام، كنكتب مقال على المقاولين الشباب فالمغرب، وبغيت رأيك فهاد المسودة قبل النشر”. الرابط يفتح صفحة دخول Google الحقيقية، بعنوانها الصحيح وقفلها الأخضر. يدخل بحسابه كالعادة. ثم تظهر نافذة صغيرة: “تطبيق Docs Viewer يريد الوصول إلى حسابك: قراءة بريدك الإلكتروني، والاطلاع على ملفاتك”. يضغط “السماح” ليرى المسودة.

يوسف لم يعطِ كلمة مروره لأحد. لم يُدخل أي رمز في صفحة مزيفة. ومع ذلك، صار شخص مجهول قادراً على قراءة بريده وملفاته، وربما إرسال رسائل باسمه. هذا هو التصيد عبر طلب الأذونات (Consent phishing).

كيف يعمل هذا الاحتيال؟

تعرف بالتأكيد زر “الدخول بحساب Google” أو “بحساب Microsoft” أو “بحساب فيسبوك”. هذه الطريقة القانونية، المعروفة تقنياً باسم OAuth، تسمح لتطبيق ما بالوصول إلى جزء من حسابك دون أن يعرف كلمة مرورك. هي مفيدة جداً عندما يكون التطبيق موثوقاً. والمحتالون يستغلونها بالضبط لأنها تبدو موثوقة.

1. الطُّعم: رسالة من “صحفي” أو “باحث” يطلب رأيك في وثيقة، أو “منظم حدث” يطلب التحقق من هويتك، أو رابط يشبه خدمة مشاركة ملفات.
2. الصفحة الحقيقية: الرابط يقودك إلى صفحة دخول حقيقية من Google أو Microsoft. كلمة مرورك لا تذهب إلى المحتال.
3. نافذة الأذونات: بعد الدخول، تظهر نافذة تطلب منك منح صلاحيات لتطبيق المحتال: قراءة البريد وإرساله، الوصول إلى الملفات، وغيرها.
4. “السماح”: بمجرد الموافقة، يحصل التطبيق على “رمز وصول” يعمل باسمك.

في سبتمبر 2026، نشر مكتب التحقيقات الفيدرالي الأمريكي (FBI) تحذيراً خاصاً بهذا الأسلوب، ذكر فيه أن المهاجمين يراسلون أهدافهم منذ أواخر 2025 عبر حسابات شخصية وتطبيقات المراسلة، منتحلين صفة مسؤولين حكوميين أو صحفيين أو شخصيات عامة أو منظمي فعاليات.

لماذا لا تحميك كلمة المرور ولا التحقق بخطوتين؟

هذه النقطة مهمة جداً. حسب تحذير الـFBI:

• المحتال لا يحصل أبداً على كلمة مرورك. لذلك تغييرها لا يلغي وصوله.
• “رمز الوصول” الذي منحته يبقى صالحاً حتى بعد تغيير كلمة المرور.
• لأن العملية تمر عبر بروتوكول رسمي، التحقق بخطوتين لا يمنعها: أنت من أكّد الدخول بنفسك.
• الطريقة الوحيدة لقطع الوصول هي إلغاء صلاحية التطبيق من إعدادات الأمان في حسابك.

هل يحدث هذا فعلاً؟

نعم، وعلى نطاق واسع. رصدت شركة الأمن Proofpoint منذ بداية 2025 حملة استعمل فيها المحتالون تطبيقات Microsoft مزيفة تنتحل أسماء خدمات معروفة مثل Adobe وDocuSign وSharePoint، ووجدت أكثر من 50 تطبيقاً منتحلاً في رسائل الحملة. كانت هذه التطبيقات بوابة لسرقة حسابات Microsoft 365.

الهدف الأول لهذه الحملات غالباً حسابات العمل، لكن نفس المنطق ينطبق على حسابك الشخصي في Gmail أو Outlook أو فيسبوك.

علامات التحذير

• رابط غير متوقع من شخص لا تعرفه جيداً، حتى لو كانت صفة “صحفي” أو “مسؤول”.
• طلب أذونات لا علاقة لها بالخدمة: لماذا يحتاج “عارض وثائق” إلى قراءة بريدك وإرسال رسائل باسمك؟
• اسم تطبيق غريب أو يشبه اسماً معروفاً مع اختلاف صغير (حرف صفر بدل حرف O مثلاً).
• ضغط للتصرف بسرعة: “المقال غادي يتنشر الليلة”، “التحقق ضروري قبل الحدث”.
• طلب “التحقق من هويتك” عبر تطبيق بدل الطرق العادية.

كيف تقرأ نافذة الأذونات؟

قبل أن تضغط “السماح”، خذ خمس ثوانٍ لقراءة ثلاثة أشياء: اسم التطبيق (هل تعرفه وبحثت عنه بنفسك؟)، اسم المطوّر أو بريده إن ظهر، وقائمة الصلاحيات المطلوبة. تطبيق لتعديل الصور لا يحتاج قراءة بريدك، ولعبة لا تحتاج الوصول إلى ملفاتك. كلما كانت الصلاحيات أوسع من حاجة التطبيق، كلما زاد احتمال الاحتيال.

خطوة بخطوة: راجع التطبيقات المرتبطة بحساباتك الآن

حتى لو لم تقع في هذا الفخ، من الجيد أن تراجع مرة في السنة التطبيقات التي لها صلاحيات على حساباتك. ستتفاجأ بعدد التطبيقات القديمة المنسية.

حساب Google

1. ادخل إلى حسابك في Google (myaccount.google.com).
2. اذهب إلى قسم الأمان، ثم إلى قائمة التطبيقات والخدمات المرتبطة بحسابك (قد يختلف الاسم قليلاً حسب النسخة).
3. اضغط على أي تطبيق لا تعرفه أو لم تعد تستعمله، ثم “عرض التفاصيل” و**“إزالة الوصول”**.

فيسبوك

1. افتح الإعدادات والخصوصية ثم الإعدادات.
2. اذهب إلى التطبيقات ومواقع الويب.
3. اضغط “إزالة” بجانب كل تطبيق لا تعرفه.

يمكنك أيضاً استعمال أداة فحص الخصوصية في فيسبوك لمراجعة التطبيقات التي دخلت إليها بحسابك.

حساب Microsoft (Outlook، Hotmail)

ادخل إلى حسابك على account.microsoft.com، وابحث في إعدادات الخصوصية والأمان عن قائمة التطبيقات والخدمات التي يمكنها الوصول إلى بياناتك، ثم أزل ما لا تعرفه. أسماء القوائم تتغير أحياناً، فاستعمل خانة البحث داخل صفحة الحساب إذا لم تجدها.

ماذا تفعل إذا وافقت على تطبيق مشبوه؟

1. أزل صلاحية التطبيق فوراً من صفحة التطبيقات المرتبطة، كما في الخطوات أعلاه. هذه هي الخطوة الأهم، لأن تغيير كلمة المرور وحده لا يكفي.
2. افحص بريدك: هل هناك رسائل مرسلة لم تكتبها؟ قواعد تحويل تلقائي (forwarding) أو فلاتر لم تنشئها؟ تنصح Google بحذف أي فلتر أو تحويل لم تضعه أنت.
3. راجع نشاط الحساب والأجهزة المتصلة، وأخرج أي جهاز لا تعرفه.
4. نبّه جهات اتصالك إذا أُرسلت رسائل باسمك، حتى لا يقعوا في نفس الفخ.
5. احتفظ بلقطات الشاشة للرسالة الأصلية والرابط، كما ينصح الـFBI، وبلّغ عبر منصة “E-Blagh” التابعة للمديرية العامة للأمن الوطني (dgsn.gov.ma) أو لدى الشرطة.
6. غيّر كلمة المرور بعد ذلك كإجراء إضافي، وفعّل مفتاح مرور إن أمكن.

الخلاصة السريعة

• صفحة دخول حقيقية لا تعني أن التطبيق الذي يطلب الأذونات حقيقي.
• “السماح” يعطي التطبيق وصولاً يبقى حتى بعد تغيير كلمة المرور.
• اقرأ الأذونات المطلوبة: البريد والملفات = خطر كبير.
• راجع التطبيقات المرتبطة بحساباتك وأزل ما لا تعرفه.
• إذا وافقت على تطبيق مشبوه: ألغِ صلاحيته أولاً، ثم افحص بريدك.

المصادر

• FBI / IC3: Malicious Cyber Actors Gain Access to Victim Accounts Through Consent Phishing (1 سبتمبر 2026)
• Proofpoint: Microsoft OAuth App Impersonation Campaign Leads to MFA Phishing
• Google Account Help: Share some access to your Google Account with third-party apps
• Facebook Help: Remove an app or game that you’ve added to Facebook
• Google Account Help: Secure a hacked or compromised Google Account