رغم أن فرق الأمن السيبراني تركز عادة على تهديدات مثل التصيّد الاحتيالي والبرمجيات الخبيثة وهجمات الفدية، إلا أن أحد أخطر المخاطر وأكثرها إهمالاً يظل مرتبطاً بسلوك يومي بسيط: إعادة استخدام كلمات المرور بشكل شبه متطابق. هذه الممارسة تمر غالباً دون رصد، حتى في بيئات تفرض سياسات صارمة لإدارة كلمات المرور.
لماذا يستمر إعادة الاستخدام رغم السياسات الصارمة
تدرك المؤسسات أن استخدام كلمة مرور واحدة عبر أنظمة متعددة يشكل خطراً كبيراً، لذلك تفرض سياسات تمنع ذلك وتدعمها برامج تدريبية للتوعية. لكن المشكلة لا تكمن دائماً في إعادة الاستخدام المباشر، بل في ما يسمى إعادة الاستخدام شبه المتطابق، حيث يقوم الموظفون بإجراء تغييرات طفيفة على كلمة المرور الأصلية لتبدو جديدة، بينما تظل بنيتها الأساسية كما هي.
أمثلة شائعة:
- Summer2023! → Summer2024!
- P@ssword → P@ssword1
- Welcome! → Welcome?
هذه التعديلات البسيطة تفي بمتطلبات الطول والتعقيد، لكنها لا تقلل من المخاطر الفعلية.
عبء المستخدمين يقود إلى حلول خطرة
الموظف العادي مطالب بإدارة عشرات كلمات المرور عبر أنظمة العمل والخدمات السحابية والأجهزة الشخصية. هذا العبء يجعل التغييرات الصغيرة حلاً عملياً يسهل تذكره، بدلاً من ابتكار كلمة مرور جديدة كلياً. دراسة من Specops وجدت أن مؤسسة تضم 250 موظفاً قد تدير بشكل جماعي نحو 47,750 كلمة مرور، ما يوسع سطح الهجوم بشكل هائل. في ظل هذا الضغط، تصبح إعادة الاستخدام شبه المتطابق وسيلة للبقاء ضمن السياسات دون فقدان القدرة على التذكر.
كيف يستغل المهاجمون النمطية المتكررة
من منظور المهاجم، هذه التغييرات ليست عشوائية بل أنماط متوقعة. أدوات كسر كلمات المرور الحديثة مبنية على فهم كيفية تعديل المستخدمين لكلماتهم، وتفترض وجود إعادة الاستخدام شبه المتطابق.
عادة يبدأ المهاجمون بكلمات مرور مسربة من خروقات سابقة، ثم يطبقون عليها تحولات شائعة مثل إضافة أرقام أو رموز أو تغيير الحروف الكبيرة والصغيرة. هذه الأنماط متكررة عبر مختلف الصناعات والأدوار، مما يجعل التنبؤ بها سهلاً ويتيح الانتقال السريع من حساب مخترق إلى آخر.
قصور السياسات التقليدية في مواجهة الخطر
تفرض المؤسسات عادةً قواعد تعقيد مثل الطول الأدنى، المزج بين الحروف والأرقام والرموز، ومنع إعادة استخدام كلمات المرور السابقة. لكن هذه القواعد لا تمنع إعادة الاستخدام شبه المتطابق. كلمة مرور مثل FinanceTeam!2023 ثم FinanceTeam!2024 ستجتاز جميع الفحوصات، لكنها تظل مكشوفة أمام المهاجمين.
كما أن اختلاف السياسات بين الأنظمة الداخلية والمنصات السحابية والأجهزة الشخصية يخلق ثغرات إضافية، حيث يلجأ الموظفون إلى حلول متوقعة لتجاوز التعقيدات المتباينة.
خطوات لتقليل المخاطر
لمواجهة هذه الظاهرة، يجب أن تتجاوز المؤسسات القواعد التقليدية نحو سياسات أكثر ذكاءً:
- مراقبة مستمرة لكلمات المرور مقابل قواعد بيانات الخروقات المعروفة.
- تحليل تشابه الكلمات الجديدة مع القديمة لمنع الأنماط المتكررة.
- توحيد السياسات عبر مختلف الأنظمة لتقليل الحوافز على استخدام الحلول السهلة.
- اعتماد أدوات مثل Specops Password Policy التي توفر إدارة مركزية للسياسات، تقارير واضحة للمخاطر، وفحصاً مستمراً لكلمات المرور ضد أكثر من 4.5 مليار كلمة مرور مخترقة.
