الأرقام المُعاد تدويرها: الخطر الصامت في التحقق عبر SMS

تبدو أرقام الهواتف دائمة. نطبعها على بطاقات العمل، ونعطيها للبنوك، ونستخدمها لتسجيل الدخول إلى كل شيء تقريبًا. لكن الرقم بالنسبة للمشغّل مجرد مخزون. عندما يتوقف عميل عن الدفع، أو يغيّر باقته دون نقل رقمه، أو يترك شريحة مسبقة الدفع تنتهي صلاحيتها، يُفصل الرقم ويُترك فترة ثم يُسلَّم لشخص جديد.

تقدّر هيئة الاتصالات الفيدرالية الأمريكية FCC أن نحو 35 مليون رقم يُفصل ويصبح متاحًا لإعادة التخصيص كل عام في الولايات المتحدة وحدها. ومعظم هذه الأرقام كانت، في وقت ما، وسيلة تسجيل الدخول أو قناة الاسترداد أو العامل الثاني لحسابات شخص ما.

ما الذي وجده باحثو برينستون

في 2021 قرر كيفن لي وأرفيند نارايانان من مركز سياسات تقنية المعلومات في جامعة برينستون قياس المشكلة مباشرة. فأخذا عيّنة من 259 رقمًا كان مشغّلان أمريكيان كبيران، T-Mobile وVerizon، يعرضانها على المشتركين الجدد، ثم فحصا ما الذي ما زالت هذه الأرقام تفتحه.

• ·171 رقمًا من أصل 259 — أي نحو رقمين من كل ثلاثة — كانت ما تزال مرتبطة بحسابات قائمة في مواقع شهيرة، منها Amazon وAOL وFacebook وGoogle وPayPal وYahoo. والمالك الجديد الذي يستقبل رسائل إعادة تعيين كلمة المرور قد يتمكن من الاستيلاء على تلك الحسابات.
• ·100 رقم منها ظهرت إلى جانب بيانات دخول مسرّبة في بيانات اختراقات منشورة، أي أن رسالة SMS كانت الشيء الوحيد الذي يقف بين المهاجم والحساب.
• ·وأعادت أرقام كثيرة أيضًا معلومات شخصية عن مالكيها السابقين في مواقع البحث عن الأشخاص.

ووجد الباحثان كذلك أن صفحات تغيير الرقم لدى المشغّلين على الإنترنت كانت تتيح لأي شخص تصفح مجموعات كبيرة من الأرقام المتاحة، ما يسهّل على المهاجم البحث عن الأرقام المُعاد تدويرها. وأجرى المشغّلان تغييرات بعد إبلاغهما؛ ونشر الباحثان ردود المشغّلين إلى جانب الدراسة.

جوهر المشكلة بسيط: الخدمات تعدّ «القدرة على استقبال رسالة على هذا الرقم» دليلًا على الهوية، بينما يعدّ المشغّلون الأرقام قابلة لإعادة الاستخدام. وعندما يلتقي الافتراضان، يرث من يحمل الرقم اليوم كل الثقة التي كانت مرتبطة به بالأمس.

ماذا فعلت الجهات التنظيمية

استهدف الرد الرئيسي لـ FCC مشكلة مختلفة: المكالمات غير المرغوب فيها إلى من ورثوا رقمًا. ففي ديسمبر 2018 أمرت بإنشاء قاعدة بيانات الأرقام المُعاد تخصيصها، التي بدأت العمل في 2021. يبلّغ المشغّلون عن الأرقام المفصولة نهائيًا، ويمكن للشركات الاستعلام عمّا إذا كان رقم ما قد فُصل منذ تاريخ معيّن قبل الاتصال به أو مراسلته. وحدد القرار نفسه فترة «تقادم» لا تقل عن 45 يومًا قبل إعادة تخصيص الرقم المفصول.

يساعد ذلك الشركات على التوقف عن مراسلة الغرباء. لكنه لا يفعل شيئًا للحسابات التي ما زال الرقم القديم مسجّلًا فيها. وتحديث ذلك متروك عمليًا لصاحب الحساب.

كيف تحمي نفسك عند تغيير رقمك

ماذا يعني هذا للأرقام الافتراضية المستأجرة

المقال الصادق عن إعادة تدوير الأرقام يجب أن يطبّق المنطق نفسه على الأرقام المستأجرة، لأنها تُعاد تدويرها بطبيعة تصميمها. الرقم الذي تستأجره لتحقق واحد محجوز لك طوال التفعيل؛ وبعده يمكن أن يُستخدم مجددًا لأشخاص آخرين وخدمات أخرى. هذا ما يجعل الرقم المستأجر رخيصًا ومؤقتًا — ولهذا لا ينبغي أبدًا أن يصبح قناة الاسترداد الدائمة لحساب يهمك.

• ·استخدامات جيدة: إتمام التسجيل دون إعطاء الخدمة رقمك الشخصي؛ تطبيقات المراسلة والشبكات الاجتماعية والأسواق الإلكترونية والفترات التجريبية والحسابات التجريبية، حيث لا يهم الرقم إلا لحظة التحقق.
• ·استخدامات سيئة: البنوك والمدفوعات والخدمات الحكومية وأي حساب طريقه الوحيد للاسترداد رسالة SMS إلى ذلك الرقم. هذه تستحق رقمًا سيبقى لك بعد خمس سنوات.
• ·بعد التحقق مباشرة: أضف بريد استرداد، وفعّل الحماية الثنائية عبر تطبيق، وإن سمحت الخدمة، فلا تترك الرقم المستأجر طريقًا وحيدًا للعودة.

عند استخدامه بهذه الطريقة، يصبح الرقم المستأجر في الواقع دفاعًا ضد مشكلة إعادة التدوير لا مثالًا عليها. فرقمك الحقيقي — الذي قد يُفصل هو نفسه ويُعاد بيعه يومًا ما — لا ينتهي به المطاف في عشرات قواعد البيانات أصلًا.

الأسئلة الشائعة