هذه سابقة تنظيمية تستحق الانتباه: ألزم مصرف الإمارات العربية المتحدة المركزي البنوك بالتخلص التدريجي من رموز المرور لمرة واحدة عبر SMS والبريد الإلكتروني بحلول مارس 2026، واستبدالها بمصادقة متعددة العوامل قائمة على المخاطر تعتمد على القياسات البيومترية للوجه ورموز الأجهزة والهوية الرقمية الوطنية. إنه أول إلغاء تنظيمي صريح لرموز OTP، ولن يكون الأخير.
الجميع كان يعرف، وأخيراً تحرك أحدهم
يوثق قطاع الأمن نقاط ضعف رموز OTP منذ عشر سنوات: الاستيلاء على الحسابات عبر تبديل شرائح SIM، والتصيد الفوري عبر وسطاء، والبرمجيات الخبيثة التي تقرأ الرسائل، والمستخدمون الذين اعتادوا إدخال الرموز أينما طُلب منهم ذلك. وأبقى عامل «الحيازة» في PSD2 رموز SMS حية في أوروبا بحجة أن الحل غير المثالي أفضل من كلمات المرور وحدها. أما الإمارات فقد راهنت الآن على العكس: بمستويات الاحتيال الحالية، لم يعد الحل غير المثالي مقبول التكلفة.
ما الذي يحل محلها
منظومة البديل معروفة: قياسات بيومترية مرتبطة بهوية متحقق منها، وبيانات اعتماد تشفيرية على الأجهزة، وتحقق إضافي يتناسب مع المخاطر. والاعتماد الحاسم هو الخطوة الأولى، أي ربط القياس البيومتري بشخص حقيقي ثبتت هويته وفق المعيار الحكومي، لأن قوة المصادقة لا تتجاوز قوة التسجيل الذي يسبقها. وهذه الخطوة الأولى هي جوهر عمل WeVerify: التحقق من شريحة NFC مع كشف حيوية معتمد، والهوية المتحقق منها القابلة لإعادة الاستخدام للتحقق الإضافي الفوري بعد ذلك. وعندما تكتب الجهة التنظيمية لديك نعي رموز OTP، ستخضع طبقة التسجيل لديك للتفتيش.