تعداد أسماء المستخدمين: كيف يجد المهاجمون حساباتك وكيف توقفهم

ما هو تعداد أسماء المستخدمين؟

تعداد أسماء المستخدمين (Username Enumeration) هو عملية اكتشاف المنصات التي يكون فيها اسم مستخدم معين مسجلًا. يستخدمه المهاجمون لبناء ملف تعريف عن الهدف قبل شن حملات التصيد أو هجمات حشو بيانات الاعتماد (Credential Stuffing) أو الهندسة الاجتماعية. الفكرة الأساسية بسيطة: معظم الناس يعيدون استخدام نفس اسم المستخدم عبر وسائل التواصل الاجتماعي ومنصات المطورين وشبكات الألعاب والمنتديات. ومن خلال اختبار اسم المستخدم هذا على العديد من الخدمات، يستطيع المهاجم رسم خريطة للبصمة الرقمية للضحية.

يشرح هذا الدليل كيفية عمل التعداد، والتقنيات التي يستخدمها المهاجمون، وكيف يمكنك تدقيق حساباتك وحمايتها.

كيف يُعدّد المهاجمون أسماء المستخدمين

نادرًا ما يخمّن المهاجمون بشكل عشوائي. إنهم يستخدمون مزيجًا من الفحوصات اليدوية والأدوات الآلية. إليك أكثر الطرق شيوعًا.

1. الفحص اليدوي عبر المنصات

يبدأ المهاجم باسم مستخدم معروف — ربما من عنوان بريد إلكتروني أو ملف تعريف عام. ثم يزور المنصات الشائعة ويجرب نفس اسم المستخدم. على سبيل المثال، إذا كان الهدف يستخدم @johndoe على Twitter/X، يتحقق المهاجم من Instagram وReddit وGitHub وSteam. هذه الطريقة بطيئة لكنها فعالة لهدف واحد.

2. أدوات التعداد الآلية

أدوات مثل TruthSeek (TraceSeek) تؤتمت العملية عبر فحص اسم مستخدم على أكثر من 3.000 منصة في 20–30 ثانية. يستخدم المهاجمون أدوات مشابهة لإنشاء قائمة بالمنصات التي يوجد فيها اسم المستخدم. الفحص الأول المجاني يخفض حاجز الدخول.

3. استغلال ثغرات المنصات

بعض المنصات تسرّب معلومات عبر رسائل الخطأ أو أوقات الاستجابة. على سبيل المثال، قد تقول صفحة تسجيل الدخول “اسم المستخدم غير موجود” مقابل “كلمة المرور غير صحيحة”. يمكن للمهاجمين كتابة نصوص برمجية لاكتشاف هذه الفروق. منصات أخرى تُرجع رموز حالة HTTP مختلفة للملفات الشخصية الموجودة مقابل غير الموجودة.

4. فخاخ 404 الناعمة

العديد من المواقع تُرجع حالة “200 OK” حتى للملفات الشخصية غير الموجودة، وتعرض صفحة مخصصة “المستخدم غير موجود”. يجب على المهاجمين اكتشاف صفحات 404 الناعمة (Soft-404s) هذه من خلال البحث عن نص معين أو تغييرات في التخطيط. الأدوات التي لا تراعي ذلك تنتج نتائج إيجابية خاطئة.

5. متغيرات اسم المستخدم

غالبًا ما يستخدم الناس اختلافات طفيفة: john_doe، johndoe1، realjohndoe. يولّد المهاجمون هذه المتغيرات ويختبرونها. كما يتحققون من البدائل الشائعة (مثل o بدلًا من 0، وi بدلًا من 1).

خطوة بخطوة: كيف تدقق تعرض اسم المستخدم الخاص بك

يمكنك استخدام نفس التقنيات لترى ما سيجده المهاجم. اتبع هذه الخطوات.

1. اسرد أسماء المستخدمين الخاصة بك. اكتب كل اسم مستخدم استخدمته في السنوات الخمس الماضية. ضمّن القديمة.
2. شغّل فحصًا لاسم المستخدم. استخدم أداة مثل TraceSeek للتحقق من كل اسم مستخدم عبر أكثر من 3.000 منصة. يستغرق الفحص 20–30 ثانية والأول مجاني.
3. راجع النتائج. ستُظهر الأداة المنصات التي لديها حسابات تطابق اسم المستخدم هذا. تذكر: التطابق دليل وليس إثباتًا أن الحساب يخصك.
4. تحقق يدويًا. لكل تطابق، قم بزيارة الملف الشخصي. تحقق مما إذا كانت السيرة أو الصورة أو النشاط تطابقك. إذا كان شخصًا آخر، سجّله كإيجابية خاطئة.
5. وثّق بصمتك. أنشئ جدول بيانات للمنصات التي لديك حسابات عليها. ضمّن اسم المستخدم والبريد الإلكتروني وما إذا كان التحقق بخطوتين (2FA) مفعّلًا.
6. أغلق الحسابات غير المستخدمة. بالنسبة للمنصات التي لم تعد تستخدمها، احذف الحساب أو غيّر اسم المستخدم إلى شيء عشوائي.
7. عزّز الحسابات النشطة. فعّل التحقق بخطوتين، واستخدم كلمة مرور فريدة، وفكّر في تغيير اسم المستخدم إذا كان كاشفًا جدًا.

جدول القرار: ماذا تفعل بناءً على نتائج الفحص

أخطاء شائعة عند تدقيق اسم المستخدم الخاص بك

حتى المستخدمون الحذرون يقعون في أخطاء. تجنب هذه المزالق.

• افتراض أن التطابق يعني أنه أنت. العديد من أسماء المستخدمين شائعة. إصابة على @alex ليست دليلًا على أنه حسابك. تحقق يدويًا دائمًا.
• تجاهل صفحات 404 الناعمة. بعض الأدوات تبلغ عن وجود ملف شخصي بينما أعاد الموقع فعليًا صفحة “غير موجود” عامة. تحقق المتقاطع مع متصفح.
• نسيان الحسابات القديمة. حسابات من عام 2010 قد تكون لا تزال نشطة وتسرّب بريدك الإلكتروني أو تفاصيلك الشخصية.
• إغفال متغيرات اسم المستخدم. قد تستخدم john_doe على موقع وjohndoe على آخر. افحص كل المتغيرات.
• عدم التحقق من تسريبات البيانات. تعداد أسماء المستخدمين يخبرك أين توجد الحسابات؛ قواعد بيانات التسريبات تخبرك إذا تسربت بيانات الاعتماد. استخدم كليهما.
• إهمال إعدادات الخصوصية. حتى لو لم تستطع حذف حساب، يمكنك غالبًا إخفاء ملفك الشخصي من محركات البحث.

كيف يستخدم المهاجمون أسماء المستخدمين المُعدّدة

بمجرد أن يحصل المهاجم على قائمة بالمنصات، يمكنه:

• شن تصيد مستهدف. يرسلون رسائل بريد إلكتروني تشير إلى اسم المستخدم الخاص بك على منصة معينة، مما يجعل الرسالة تبدو شرعية.
• محاولة حشو بيانات الاعتماد. إذا أعدت استخدام كلمة مرور، يجربونها على منصات أخرى.
• بناء رسم بياني اجتماعي. يربطون حساباتك للعثور على الأصدقاء والعائلة والزملاء للهندسة الاجتماعية.
• التحرش أو نشر المعلومات الشخصية. يجمعون معلومات شخصية من ملفات تعريف متعددة.

حماية بصمتك الخاصة

الوقاية خير من العلاج. إليك كيفية تقليل سطح التعداد الخاص بك.

استخدم أسماء مستخدمين فريدة

تجنب استخدام نفس اسم المستخدم في كل مكان. إذا كان لا بد من ذلك، استخدم اسمًا مستعارًا غير مرتبط باسمك الحقيقي. بالنسبة للمنصات التي تحتاج فيها إلى أن تكون قابلاً للعثور (مثل LinkedIn)، اقبل المقايضة لكن حد من التعرض الآخر.

فعّل التحقق بخطوتين

التحقق بخطوتين (2FA) يوقف حشو بيانات الاعتماد حتى لو تسربت كلمة المرور. استخدم تطبيق مصادقة بدلًا من الرسائل النصية حيثما أمكن.

استخدم مدير كلمات المرور

أنشئ كلمات مرور قوية وفريدة لكل حساب. هذا يمنع اختراقًا واحدًا من تعريض الآخرين للخطر.

دقق حساباتك بانتظام

شغّل فحصًا لاسم المستخدم كل بضعة أشهر. استخدم TraceSeek للتحقق من أسماء المستخدمين الخاصة بك عبر أكثر من 3.000 منصة. الفحص سريع (20–30 ثانية) والأول مجاني. تعامل مع النتائج كأدلة وتحقق يدويًا.

حد من المعلومات العامة

على وسائل التواصل الاجتماعي، اضبط الملفات الشخصية على خاصة حيثما أمكن. أزل عنوان بريدك الإلكتروني ورقم هاتفك من السير الذاتية العامة. على منصات المطورين، تجنب إيداع الأسرار في المستودعات العامة.

احذف الحسابات غير المستخدمة

إذا لم تعد تستخدم منصة، احذف الحساب. إذا لم يكن الحذف ممكنًا، غيّر اسم المستخدم إلى شيء عشوائي وأزل التفاصيل الشخصية.

راقب التسريبات

استخدم خدمات الإشعار بالتسريبات لمعرفة ما إذا كانت بيانات اعتمادك تظهر في عمليات تفريغ البيانات. غيّر كلمات المرور فورًا إذا تم إشعارك.

حقائق رئيسية

• تعداد أسماء المستخدمين هو ممارسة اكتشاف الحسابات الإلكترونية التي تخص شخصًا ما عبر اختبار اسم مستخدم على منصات متعددة.
• TruthSeek (TraceSeek) يفحص أكثر من 3.000 منصة في 20–30 ثانية، مع فحص أول مجاني.
• تطابقات أسماء المستخدمين العامة أدلة وليست دليلًا على الملكية؛ التحقق اليدوي مطلوب.
• يستخدم المهاجمون أدوات آلية وثغرات المنصات واكتشاف صفحات 404 الناعمة لتعداد أسماء المستخدمين.
• حماية بصمتك تتضمن أسماء مستخدمين فريدة، والتحقق بخطوتين، والتدقيق المنتظم، وحذف الحسابات غير المستخدمة.