اختراق تطبيقات التسوق 2026: درس ASOS وحماية حسابك

حادثة يوليو 2026 وتسريب بيانات 138,828 عميل من ASOS

قبل ضجة أكتوبر بأشهر، تعرّضت ASOS لاختراق فعلي أعمق كُشف للعامة في 21 أغسطس 2026. التسلسل بحسب إشعار مكتب المدعي العام في كاليفورنيا و eSecurity Planet: في 28 يوليو 2026 رصدت الشركة نشاطاً مريباً. في 29 يوليو أكّدت الوصول غير المصرح به وأغلقت الحسابات المتأثرة وأجبرتها على إعادة تعيين كلمة المرور. ثم أبلغت العملاء في 30 يوليو عبر البريد.

عدد المتأثرين: 138,828 حساب وفق إشعار مكتب محاماة Srourian. البيانات المكشوفة شملت الاسم الكامل والبريد الإلكتروني وعناوين التسليم والفوترة ورقم الهاتف وتاريخ الميلاد. كما تضمنت تفاصيل حسابات التواصل الاجتماعي المرتبطة. وأُضيف إليها معلومات بطاقة محدودة: اسم حامل البطاقة وآخر 4 أرقام وتاريخ الانتهاء فقط. الأرقام الكاملة ورموز الأمان CVV لم تُكشف لأن ASOS تخزّنها في خزانة دفع منفصلة وفق معيار PCI-DSS.

نوع الهجوم كان Credential Stuffing لا اختراقاً مباشراً لأنظمة ASOS. أي أن المهاجمين استخدموا قوائم أسماء مستخدمين وكلمات مرور مسربة من اختراقات شركات أخرى. ثم جرّبوها على ASOS. ونجحت 138,828 محاولة. السبب: المستخدمون كرّروا كلمة المرور نفسها في عدة مواقع. هذا الهجوم أرخص وأسهل من اختراق خادم مباشر، وسنعود له بتفصيل في القسم القادم.

ملاحظة جوهرية: الحادثتان منفصلتان ولا دليل حتى الآن على ارتباطهما، لكنهما يرسمان صورة واحدة. ASOS، كأي متجر إلكتروني ضخم، في مرمى هجمات متعددة الطبقات. من يعتمد على كلمة مرور واحدة ضعيفة فحسابه بين الـ138,828 القادمين بشكل أو بآخر. حوادث مشابهة طالت Snowflake وعملاءها Santander و Ticketmaster في منتصف 2024. وأدّت إلى تسريب مئات ملايين السجلات. السبب: غياب المصادقة الثنائية على حسابات Snowflake الإدارية.

ما هو Credential Stuffing ولماذا اختراق تطبيقات التسوق صناعة رابحة

Credential Stuffing هو العمود الفقري لأي حملة اختراق تطبيقات التسوق اليوم. يعمل كالتالي: المهاجم يأخذ قوائم ضخمة من "اسم مستخدم + كلمة مرور" مسربة سابقاً من اختراقات مواقع أخرى. ثم يُشغّل برامج آلية (Bots) تجرّب هذه القوائم بالملايين على موقع هدف جديد. وفق تقرير Wiz Academy، أكثر من 24 مليار زوج من بيانات الدخول متداولة حالياً على منتديات الجريمة الإلكترونية. هذا خزّان المواد الخام لهذه الهجمات.

معدل نجاح الهجوم يتراوح بين 0.2% و2%. لكن المهاجم عندما يُشغّل الهجوم على مليون زوج فإنه يحصل على 2,000 إلى 20,000 حساب فعلي. لذلك فإن سعر إيجار شبكة Bots لتنفيذ هذا الهجوم أرخص بكثير من محاولة اختراق خادم أمازون أو ASOS مباشرة. ويُعدّ حشو بيانات الاعتماد من أوسع أنواع الهجمات على تطبيقات الويب انتشاراً في السنوات الأخيرة.

تطبيقات التسوق أهداف جذابة لأسباب محددة. تحتوي بطاقات محفوظة يسهل تحويلها لنقاط ولاء قابلة للبيع. وتخزّن عناوين تسليم تُستخدم في عمليات شراء احتيالية ثم إعادة شحن للسلع. والمستخدم العادي يملك حساب التسوق لسنوات دون تغيير كلمة المرور. بحسب تقرير MojoAuth الصادر 2026، هجمات الاستيلاء على الحسابات (ATO) في التجارة الإلكترونية ارتفعت 148% سنوياً في الربع الأخير من 2025. متوسط الخسارة لكل حساب تجزئة مؤكد الاختراق بلغ 442 دولاراً. ورصد مكتب FBI IC3 خسائر 1.1 مليار دولار من هجمات ATO وسرقات بيانات التجزئة خلال 2025.

المعادلة واضحة: 24 مليار كلمة مرور مسربة + معدل نجاح 1% + 148% نمو سنوي + 442 دولاراً متوسط خسارة. النتيجة: اقتصاد اختراق تطبيقات التسوق مربح للغاية ويستهدف المستخدم العربي والعالمي معاً. وفي كثير من الحالات، يتبع Credential Stuffing حملات تصيّد لاحقة تستغل المعلومات المسروقة. من يحمي حسابه بكلمة مرور واحدة فقط يراهن ضد اقتصاد كامل.

منصة Snowflake وحكاية الاختراقات المتسلسلة في بنية البيانات

تُعدّ Snowflake منصة سحابية لتخزين بيانات العملاء وتحليلها. وتستخدمها شركات ضخمة مثل ASOS و Ticketmaster و AT&T و Santander. حين ادعى مخترقو ASOS في أكتوبر 2026 أنهم "اخترقوا Snowflake instance" بالكامل، كان الادعاء يستحضر ذكرى حوادث حقيقية سابقة. ليس مجرد تهديد نظري.

في منتصف 2024، تعرّض 165 عميلاً من عملاء Snowflake لهجوم رصدته Mandiant باسم المجموعة UNC5537. الهجوم لم يستغل ثغرة في Snowflake نفسها. بل استخدم برامج InfoStealer مثل RedLine و Lumma و Vidar. تُحقن هذه البرامج في أجهزة موظفين لهم صلاحيات إدارية، وتسرق ملفات تعريف الارتباط في المتصفح وكلمات المرور المحفوظة. بسبب غياب المصادقة الثنائية الإلزامية على حسابات Snowflake الإدارية حينها، تمكّن المهاجمون من تسجيل الدخول عبر هذه البيانات المسروقة والوصول إلى مئات الملايين من السجلات في Ticketmaster و Santander وغيرها، وفق تحليل Wiz.

تأثير ذلك اليوم: فرضت Snowflake المصادقة الثنائية الإلزامية في وقت لاحق. لكن المشكلة الحقيقية ليست في المنصة بل في كل "حلقة ضعيفة" حولها، سواء كانت مفاتيح API مكشوفة، أو جهاز موظف مصاب، أو مزوّد خارجي للإشعارات كما حصل مع ASOS. تقرير Cypro يصف ما جرى بوضوح: "الوصول إلى قناة إرسال الإشعارات لا يعني بالضرورة الوصول إلى قواعد بيانات العملاء، لكن الطابع الموثوق للإشعارات داخل التطبيق منح الرسالة مصداقية فورية".

الدرس الذي يخص المستخدم العربي: شركات بحجم Santander و Ticketmaster لم تحمها بنية Snowflake الفاخرة من اختراق أدواته المحيطة. بالنسبة لك كمستخدم، لا تفترض أن "ASOS شركة كبيرة لذلك بياناتي بأمان". التعامل الصحيح: افترض أن أي بيان أعطيته لمتجر إلكتروني قد يُسرَّب يوماً، ثم ابنِ طبقات حماية حولك أنت، لا حوله هو.

7 خطوات لحماية حسابك من اختراق تطبيقات التسوق الآن

هذه ليست نصائح عامة بل خطة عمل مرتّبة بالأهمية. ابدأ من الأعلى ولا تنتقل للتالية حتى تنفّذ ما قبلها. الهدف واضح: الوصول خلال 20 دقيقة إلى وضع أمني يحمي حسابك على ASOS و SHEIN و Amazon و Noon. منع اختراق تطبيقات التسوق على حسابك يبدأ بهذه الخطوات السبع، لا بمنتج أمان باهظ.

1) غيّر كلمة مرور ASOS فوراً إذا كنت مستخدماً

سواء تلقّيت إشعار 6 أكتوبر أم لا، كلمة مرور ASOS الحالية يجب أن تتغير إلى كلمة طويلة فريدة بين 16 و20 حرفاً. أهم من الطول: ألا تكون مستخدمة في أي موقع آخر. أفاد تقرير Verizon DBIR أن 31% من الاختراقات خلال العقد الماضي كانت بسبب بيانات دخول مسروقة بحسب MojoAuth.

2) فعّل المصادقة الثنائية في كل تطبيق تسوّق تستخدمه

معدل البحث عن "المصادقة الثنائية" في مصر وحدها بلغ 720 بحثاً شهرياً وفق أدواتنا، لكن نسبة من يفعّلها فعلاً أقل بكثير. حسابات Google و Microsoft و Apple قدّمت المصادقة الثنائية مجاناً منذ سنوات، وتطبيقات التسوق الكبرى (Amazon، SHEIN، Noon، Nike) تدعمها الآن. استخدم تطبيق Authenticator مستقلاً بديلاً عن الرسائل النصية، لأن هجمات تبديل شريحة SIM كلّفت قطاع التجزئة في الولايات المتحدة 71 مليون دولار في 2024 وحدها.

3) استخدم Passkeys حين يكون متاحاً

تشير تقارير تحالف FIDO إلى أن الحسابات المحمية بـ Passkeys لم تُسجّل عليها عمليات استيلاء مؤكدة عبر التصيّد، لأن هذه المفاتيح مقاومة للتصيّد من حيث التصميم. تطبيقات Apple و Google و 1Password و Proton Pass تدعم Passkeys مجاناً.

4) استخدم مدير كلمات مرور لتوليد كلمات فريدة لكل متجر

Bitwarden مجاني بشكل كامل للاستخدام الفردي ويولّد كلمات بـ 20 حرفاً عشوائياً بضغطة واحدة. 1Password يبدأ من 3.99 دولار شهرياً. استخدم المدير لتوليد كلمة مرور مختلفة لكل متجر إلكتروني. هكذا لو سُرّبت كلمتك من ASOS فإنها لا تصلح لأمازون أو SHEIN أو حسابك البنكي.

5) افصل بريد التسوق عن البريد الأساسي

أنشئ عنوان Gmail أو ProtonMail أو iCloud جديد يُستخدم فقط للتسوق الإلكتروني. iCloud+ يوفّر خاصية "Hide My Email" بـ 0.99 دولار شهرياً ويوفّر عناوين مؤقتة لا نهاية لها. هكذا لو تسرّب بريدك من ASOS فإن حملات التصيّد اللاحقة لن تطال بريدك الحقيقي ولا كلمة مرور بريدك الأساسية.

6) ادفع بـ Apple Pay أو Google Pay أو PayPal بدل البطاقة المباشرة

هذه الطرق تستخدم رقم بطاقة افتراضي لكل عملية، فلا يصل رقم بطاقتك الحقيقي للتاجر أصلاً. حتى لو اخترق مزوّد ASOS، فما سيتسرّب هو "آخر 4 أرقام" من الرمز الافتراضي، لا بطاقتك البنكية. وفق MojoAuth، PCI-DSS تجعل الأرقام الكاملة محمية في خزانة دفع منفصلة، وهذا الاحتياط يُضاعف الحماية.

7) راجع نشاط الدخول في حسابك شهرياً

كل متجر كبير يعرض سجل أجهزة الدخول والعناوين البريدية الحالية. خصّص أول جمعة من كل شهر لمراجعة حساباتك: ASOS و SHEIN و Amazon و Noon. احذف أي جهاز لا تعرفه. تحقّق من عناوين الشحن. راقب كشف بطاقتك. المراجعة الشهرية تختصر وقت اكتشاف الاختراق من أشهر إلى أيام.

قاعدة الوقت: 20 دقيقة اليوم أم 20 ساعة لاحقاً

كل خطوة من الخطوات أعلاه تستغرق أقل من 3 دقائق. المجموع 20 دقيقة فقط لتغيير وضعك الأمني تماماً. المقابل: ساعات من محاولة استرجاع حسابات مخترقة، نزاع مع البنك على عمليات غير مصرح بها، ومتابعة قانونية لاحقة. حساب تكلفة الفرصة واضح. من يؤجل الخطوات الأمنية إلى حين وقوع اختراق فعلي يراهن ضد صناعة اختراق تطبيقات التسوق التي ارتفعت 148% سنوياً وفق أرقام MojoAuth الرسمية. القاعدة البسيطة: استثمر 20 دقيقة اليوم أو اقضِ 20 ساعة لاحقاً.

جدول مقارنة أدوات حماية حسابك: مدير كلمات المرور وتطبيق Authenticator ومفاتيح Passkeys

الأدوات أدناه مجّانية أو شبه مجّانية، ومجموعها يحتاج أقل من 50$ سنوياً لحماية كل حساباتك. القاعدة: أداة واحدة من كل عمود هي الحد الأدنى، لا نقاش.

التوصية حسب الحالة

مستخدم أندرويد مع ميزانية صفر: Bitwarden + Google Authenticator + Passkey عبر حساب Google + SimpleLogin. تكلفة: صفر. يغطي 95% من المخاطر.

مستخدم Apple بحساب iCloud: Keychain (مدمج) + Hide My Email ضمن iCloud+ + Passkey عبر Apple ID. تكلفة: 0.99$ شهرياً. أسلس تجربة ممكنة لأن كل شيء يعمل تلقائياً.

عائلة أو مستخدم محترف: 1Password Family + Ente Auth + YubiKey للبريد والبنك + Proton Mail. تكلفة: حوالي 10-15$ شهرياً، لكنها تحمي حسابات متعددة ومعلومات حسّاسة.

لمقارنة أعمق بين مديري كلمات المرور بالأسعار بالريال، راجع دليلنا السابق Bitwarden ضد 1Password ضد Proton Pass.

ماذا تفعل خلال 60 دقيقة بعد اختراق تطبيقات التسوق لحسابك

إذا رأيت نشاطاً غريباً في حسابك على متجر إلكتروني (طلب لم تطلبه، عنوان شحن غريب، إشعار تسجيل دخول من مكان غير مألوف)، التأخّر ساعة واحدة قد يعني تحويل بطاقتك إلى 20 عملية شراء. تنفيذ الخطوات بالترتيب:

أول 10 دقائق: اقطع الوصول

افتح التطبيق أو الموقع من جهازك الموثوق، سجّل خروجاً من كل الأجهزة الأخرى من إعدادات "الأمان - الأجهزة النشطة". غيّر كلمة المرور فوراً إلى كلمة جديدة لم تستخدمها من قبل. إذا كانت المصادقة الثنائية غير مفعّلة، فعّلها الآن حتى لو كان الوقت ضيقاً.

الربع ساعة التالي: جمّد وسائل الدفع

اتصل ببنكك عبر الرقم المدوّن خلف البطاقة وليس أي رقم من الإنترنت. اطلب تجميد البطاقة المرتبطة بحسابك المخترق، أو "تجميد مؤقت" إن توفرت. البنوك الخليجية الكبرى (الراجحي، الأهلي السعودي، الإمارات دبي الوطني، الإمارات الإسلامي) تدعم تجميد فوري من التطبيق. راجع كشف الحساب للأيام الـ30 الأخيرة واعترض على أي عملية لم تنفّذها خلال 60 دقيقة.

الـ15 دقيقة بعدها: احمِ بريدك الإلكتروني

البريد الإلكتروني المرتبط بحسابك هو "مفتاح استعادة" يمكن أن يستخدمه المهاجم لإعادة ضبط كلمة المرور لاحقاً. سجّل دخول بريدك، غيّر كلمة مروره، فعّل المصادقة الثنائية إن لم تكن مفعّلة، وراجع فلاتر البريد (Rules/Filters) للتأكد من عدم إعادة توجيه الرسائل تلقائياً إلى بريد غريب، وهي حيلة شائعة لإخفاء إشعارات البنك عنك.

آخر 20 دقيقة: وثّق وراجع البقية

التقط لقطات شاشة للحساب المخترق قبل أن تختفي، احفظ أرقام الطلبات غير المألوفة، وأبلغ خدمة عملاء المتجر. استخدم موقع Have I Been Pwned للتحقق هل بريدك ظهر في تسريبات أخرى. أخيراً، كرّر خطوات 1-7 الحمائية على بقية حساباتك المهمة: البريد البديل، أمازون، SHEIN، Noon، PayPal، أي حساب يستخدم كلمة المرور المسرّبة نفسها.

لو وصلتك مكالمة لاحقة تدّعي أنها من "فريق أمان البنك" وتطلب رمز المصادقة الثنائية أو "تحويلاً أمنياً"، فهي احتيال مؤكد. تقريرنا السابق يشرح كيف فقد رجل في الإمارات 49,571 درهماً بمكالمة واحدة من هذا النوع. البنوك لا تطلب رموز المصادقة الثنائية هاتفياً أبداً.

نقطة أخيرة قبل المضيّ قدماً

بعد تجاوز العاصفة، سجّل تاريخ الحادثة في مذكرة. راجع مديري كلمات المرور لديك. أعد تقييم إشعارات الدخول في كل تطبيق مرتبط ببطاقتك. اختراق تطبيقات التسوق لن يختفي خلال 2026 بل سيتضاعف وفق توقعات MojoAuth. وتيرة الهجمات الحالية (148% نمو سنوي) تعني أن حسابك سيواجه محاولة اختراق مرة واحدة على الأقل خلال 12 شهراً. الفرق بين من ينجو ومن يخسر هو من استعدّ مسبقاً. الدقائق الستين التي قضيتها اليوم في التعافي، استثمرها غداً في منع التكرار.

المصادر

• Bleeping Computer: ASOS confirms data breach after HACKED in-app notifications
• Cyber Security News: ASOS Hacked - App Users Receive Notifications Sent by Hackers
• The CyberSec Guru: ASOS Data Breach - Millions Get Hacker Push Notifications
• Cypro UK: ASOS Hack Alert - What the Threatening Message Means
• Shattered: ASOS Data Breach - Hacked Alert Sparks 400+ Reports
• eSecurity Planet: ASOS Account Takeover Attack Exposes Data of 138,828 Customers
• Cyber Insider: ASOS Credential Stuffing Attack Exposed Data of 138,828 Customers
• California AG Office: ASOS US Sales LLC Notification PDF
• MojoAuth: Account Takeover Protection for Online Retailers 2026
• Wiz Academy: Credential Stuffing 101