Signal مخترق: 3 خطوات لحماية حسابك

تخيّل أن زميلاً يرسل لك على Signal رمز QR أو رابطاً، يطلب منك "تأكيد حساب" أو "ربط جهاز جديد". تضغط بحسن نيّة. من تلك اللحظة، كل رسالة تصلك، سواء كانت رمز TAN من البنك، أو رسالة من BAMF، أو محادثة عائلية مع دمشق أو بيروت، يقرأها شخص آخر فوراً. الضحية غالباً لا تلاحظ شيئاً لأسابيع.

هذا بالضبط ما حدث داخل البوندستاغ. وفقاً لتقرير Tagesschau الصادر اليوم الأربعاء، اختُرقت حسابات Signal لعدد من النواب، ويُحتمل، وفق المصدر ذاته، أن يكون من بينهم حساب رئيسة البوندستاغ يوليا كلوكنر. التأكيد الرسمي لم يصدر حتى لحظة النشر، لكن وسيلة الهجوم صارت معروفة: رابط مزيّف لـ "Linked Device".

ما يهمّك هنا ليس السياسة. ما يهمّك أن الأسلوب نفسه يُستخدم الآن ضد مستخدمين عاديين. الهجوم لا يكسر تشفير Signal، ولا يستغل ثغرة في WhatsApp. يستغل ثقتك بواجهة التطبيق، ويخدعك في خطوة واحدة: أن تربط جهاز المهاجم بحسابك بيدك. إغلاق هذه الثغرة لا يحتاج أكثر من ثلاث دقائق.

الخطوة الأولى: افتح قائمة الأجهزة المرتبطة وأزل كل جهاز غريب

في Signal، اذهب إلى Einstellungen ثم Verknuepfte Geraete. ستظهر لك قائمة بكل جهاز ربطته بحسابك، مع تاريخ الربط ونشاطه الأخير. إذا رأيت جهازاً لا تعرفه، سواء كان باسم "iPad" أو "Desktop" أو أي شيء لا تتذكر أنك ربطته بنفسك، اضغط عليه واختر Entfernen. تنفصل جلسة المهاجم فوراً.

في WhatsApp الطريقة مشابهة: Einstellungen ثم Verknuepfte Geraete. مكتب أمن المعلومات الاتحادي (BSI) يوصي بمراجعة هذه القائمة بانتظام، وليس مرة واحدة فقط عند سماع خبر اختراق.

الخطوة الثانية: فعّل قفل التسجيل (Registration Lock) برقم PIN

هذه الخطوة تمنع أي شخص من إعادة تسجيل رقمك على Signal من جهاز آخر، حتى لو حصل على رمز SMS. في Signal، توجّه إلى Einstellungen ثم Konto، وفعّل Signal-PIN ثم Registrierungssperre. اختر رقماً لا يعرفه أحد، واحفظه في مكان آمن. بدون هذا الرقم، لن يستطيع أحد انتحال شخصيتك حتى لو اختطف رقم هاتفك مؤقتاً.

في WhatsApp، المكافئ اسمه Zwei-Schritt-Verifizierung، وتصل إليه من Einstellungen ثم Konto ثم Zwei-Schritt-Verifizierung. اختر رقم PIN من ست خانات. WhatsApp يطلب منه منك أحياناً لتأكيد هويتك، وهذا ما يمنع شخصاً آخر من تسجيل رقمك على جهازه.

الخطوة الثالثة: قاعدة ذهبية لا تكسرها

لا تمسح أبداً رمز QR لـ "Verknuepftes Geraet" يصلك عبر رسالة أو ايميل أو تويتر أو أي قناة. هذه الوظيفة مصمّمة خصيصاً لأجهزتك أنت: تفتح Signal على الهاتف، ثم Signal Desktop على جهازك الشخصي، فتمسح الرمز الظاهر على الشاشة أمامك مباشرة. لا يوجد سبب مشروع لأن يرسل لك أي شخص، حتى صديق مقرّب أو "موظف دعم فني"، رمز QR من هذا النوع. إذا وصلك، هو هجوم.

إذا كان الحساب مخترقاً فعلاً

لاحظت جهازاً غريباً بالفعل؟ لا تكتفِ بحذفه. أعد تسجيل Signal من البداية: احذف التطبيق، ثبّته من جديد، وسجّل برقمك. هذه العملية تُلغي تلقائياً كل الأجهزة المرتبطة السابقة، بما فيها جهاز المهاجم. بعدها، فعّل الـ PIN فوراً. في WhatsApp، تسجيل الرقم من جديد على جهازك الأساسي يُخرج أي جلسة أخرى مرتبطة بالحساب.

راجع بعد ذلك حسابات البنك والبريد الإلكتروني ومنصات السلطات مثل ELSTER، وغيّر كلمات المرور التي ربما وصلت عبر الرسائل في الفترة التي كان الحساب خلالها مخترقاً. إذا شككت أن رسائل رسمية مع BAMF أو Jobcenter قد اطلع عليها طرف ثالث، أبلغ الجهة المعنية كتابياً.

لماذا هذه النصائح بالذات؟

ليست نصائح عامة. التوثيق الرسمي لشركة Signal ومكتب أمن المعلومات الاتحادي (BSI) يتفقان على هذه الخطوات الثلاث كقاعدة أساسية لحماية الحساب. التشفير من طرف إلى طرف الذي يُسوّق له Signal وWhatsApp يعمل بشكل ممتاز ضد التنصت على الشبكة. لكنه لا يحميك إذا فتحت الباب لشخص آخر بنفسك. القضية هنا إعدادات، لا تطبيق مكسور.

ثلاث دقائق الآن تغلق ثغرة قد لا تلاحظها لأسابيع.