تظهر كل بضعة أشهر عناوين عن «تسريب مليارات كلمات المرور». هذه الأخبار مقلقة، لكنها مربكة أيضًا: هل كلمة مروري بينها؟ هل عليّ تغيير كل شيء؟ وهل يهم ذلك إن كانت كلمة مروري «معقدة» أصلًا؟

الخبر الجيد أن نصائح الجهات التي تضع القواعد أصبحت أبسط لا أصعب. يحوّل هذا الدليل أحدث الإرشادات الرسمية من المعهد الوطني للمعايير والتقنية في الولايات المتحدة (NIST) والمركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) إلى بضع عادات تناسب الجميع.

لماذا تبدو التسريبات أكبر فأكبر

كثيرًا ما لا تتحدث العناوين الكبيرة عن اختراق شركة واحدة. فكثير منها يتعلق بمجموعات مُجمَّعة: بيانات دخول جُمعت على مدى سنوات من تسريبات سابقة ومن أجهزة مصابة ببرمجيات خبيثة، ثم ضُمّت معًا وتداولها الناس. وتتباين التقارير حول هذه المجموعات، والرقم الوارد في العنوان يعدّ عادةً السجلات لا الأشخاص المختلفين، لذا يصعب معرفة كم منها جديد أو ما زال صالحًا.

ما يهمك أبسط من ذلك. خدمة Have I Been Pwned المجانية، التي تتيح لك التحقق مما إذا كان بريدك الإلكتروني قد ظهر في تسريبات معروفة، كانت تُدرج أكثر من 17.8 مليار حساب مسرَّب من أكثر من 1000 موقع عندما راجعناها في 21 أكتوبر 2026. أمام أرقام كهذه، الأسلم أن تفترض أن كلمة مرور قديمة واحدة على الأقل من كلماتك قد تسرّبت في مكان ما.

الخطر الحقيقي ليس التسريب نفسه، بل إعادة استخدام كلمة المرور. إذا كانت كلمة المرور نفسها تحمي بريدك ومصرفك ومنتدى قديمًا، فإن تسريبًا من المنتدى يمنح المجرمين مفتاح كل ما عداه. فهم يجرّبون أزواج «البريد وكلمة المرور» المسرّبة تلقائيًا على مواقع كثيرة.

ماذا تقول الإرشادات الرسمية الآن

نشر NIST في يوليو 2025 النسخة النهائية من إرشاداته للهوية الرقمية SP 800-63B-4. وهي موجهة إلى الجهات التي تدير أنظمة تسجيل الدخول، لكنها تكشف الكثير عمّا يحمي الحساب فعلًا:

  • الطول أهم من التعقيد. يجب ألا تقل كلمة المرور المستخدمة وحدها عن 15 حرفًا. وينبغي للخدمات قبول 64 حرفًا على الأقل كي تتسع عبارات المرور الطويلة.
  • لا خلطات إلزامية. لا يجوز للخدمات فرض قواعد مثل «حرف كبير ورقم ورمز». فهذه القواعد تنتج كلمات مرور متوقعة مثل «Summer2026!».
  • لا تغيير دوري. لا يجوز للخدمات إجبارك على تغيير كلمة المرور وفق جدول زمني، لكن يجب أن تفرض التغيير عند وجود دليل على اختراقها.
  • قوائم حظر. يجب على الخدمات مقارنة كلمات المرور الجديدة بقائمة من الكلمات الشائعة أو المتوقعة أو المخترقة سابقًا.
  • مديرو كلمات المرور مرحّب بهم. يجب أن تسمح الخدمات بمديري كلمات المرور والتعبئة التلقائية، وينبغي أن تسمح باللصق.
  • لا تلميحات ولا أسئلة أمان عند اختيار كلمة المرور.

ويقول NCSC الشيء نفسه تقريبًا بلغة أبسط: اجمع ثلاث كلمات عشوائية لتحصل على كلمة مرور طويلة وقوية بما يكفي، مثل ثلاث كلمات لا رابط بينها يمكنك أن تتخيلها معًا. ويشجّع المركز أيضًا على استخدام مدير لكلمات المرور.

خمس عادات تساعد فعلًا

1. كلمة مرور لكل حساب

هذه أهم عادة على الإطلاق. كلمات المرور الفريدة تجعل التسريب في موقع ما مشكلة لذلك الموقع وحده.

2. اجعلها طويلة

استخدم ثلاث كلمات عشوائية أو أكثر، أو سلسلة عشوائية طويلة من مولّد. مولّد كلمات المرور لدينا ينشئ كلمات مرور عشوائية داخل متصفحك باستخدام عشوائية تشفيرية، ولا ترسل الصفحة كلمة المرور عبر الشبكة أبدًا. الطول أهم من إضافة الرموز.

3. دع مدير كلمات المرور يتذكرها

لا أحد يستطيع تذكّر عشرات كلمات المرور الفريدة. مدير كلمات المرور يحفظها ويملؤها عنك ويستطيع توليد كلمات جديدة. احمِ المدير نفسه بعبارة مرور طويلة لا تستخدمها في أي مكان آخر، وفعّل له التحقق بخطوتين إن توفّر.

4. امنح بريدك أقوى حماية

يوصي NCSC بكلمة مرور قوية ومنفصلة للبريد الإلكتروني، لأن من يتحكم في بريدك يستطيع إعادة تعيين كلمات مرور معظم حساباتك الأخرى. تعامل معه على أنه مفتاحك الرئيسي.

5. فعّل التحقق بخطوتين

يطلب التحقق بخطوتين (2SV، ويسمى أيضًا المصادقة الثنائية) إثباتًا ثانيًا، مثل رمز من تطبيق أو طلب تأكيد على هاتفك. ووفقًا لـ NCSC، فإنه سيمنع المجرم من الوصول إلى بريدك حتى لو عرف كلمة مرورك. فعّله أولًا للبريد، ثم للحسابات المصرفية ووسائل التواصل الاجتماعي وحسابات التسوق.

كيف تعرف إن كنت متأثرًا

  • تحقق من بريدك الإلكتروني على Have I Been Pwned. ستعرض لك الخدمة التسريبات المعروفة التي تضمّنته ونوع البيانات المسرّبة.
  • استخدم فحوص مدير كلمات المرور. كثير منها ينبّه إلى الكلمات المكررة أو الضعيفة أو المسرّبة.
  • انتبه إلى العلامات: تنبيهات دخول لا تعرفها، أو رسائل إعادة تعيين كلمة مرور لم تطلبها، أو رسائل يقول أصدقاؤك إنها وصلتهم منك.

ظهور بريدك في قائمة تسريب لا يعني أن أحدًا داخل حسابك الآن، بل يعني أن تلك الكلمة يجب أن تُعامل على أنها علنية.

ماذا تفعل بعد التسريب

  1. غيّر كلمة المرور المسرّبة في ذلك الموقع وفي كل موقع استخدمت فيه الكلمة نفسها أو كلمة مشابهة.
  2. ابدأ بالبريد الإلكتروني، ثم الحسابات المالية، ثم البقية.
  3. فعّل التحقق بخطوتين وأنت هناك.
  4. أنهِ الجلسات الأخرى إن أتاحت الخدمة ذلك، وراجع خيارات الاسترداد (البريد الاحتياطي ورقم الهاتف).
  5. احذر الرسائل اللاحقة. كثيرًا ما تتبع التسريباتِ رسائلُ تصيّد تذكر التسريب لتبدو موثوقة. ادخل إلى الموقع مباشرة بدل النقر على الروابط.

لا داعي لتغيير كلمات مرور سليمة وفريدة لمجرد ظهور عنوان كبير. فإرشادات NIST واضحة: الهدف ليس التغيير الدوري، بل التغيير عند وجود دليل على الاختراق.

أين يفيد VPN وأين لا يفيد

يحمي VPN اتصالك، مثلًا على شبكة Wi-Fi عامة، إذ يخفي عن مشغّل الشبكة المواقع التي تزورها. لكنه لا يحمي كلمة مرور تسرّبت بالفعل، ولا يستطيع منع أحد من الدخول بها. كلمات المرور القوية والفريدة والتحقق بخطوتين تحمي حساباتك، أما VPN مثل VPNRice فيحمي الطريق الذي تسلكه بياناتك. وللجانب المتعلق بالشبكة، راجع دليلنا للأمان على شبكات Wi-Fi العامة.

الخلاصة

  • افترض أن كلمات مرورك القديمة قد تسرّبت؛ الخطر الحقيقي هو إعادة الاستخدام.
  • استخدم كلمات مرور طويلة: ثلاث كلمات عشوائية أو سلسلة مولّدة من 15 حرفًا أو أكثر.
  • احفظها في مدير لكلمات المرور.
  • امنح بريدك كلمة مرور منفصلة وقوية مع التحقق بخطوتين.
  • راجع Have I Been Pwned، وغيّر كلمات المرور عند وجود دليل على التسريب لا وفق جدول زمني.