تایید دو مرحله ای یاهو؛ راهنمای فعال‌سازی و رفع مشکل

کلید امنیتی دستگاه کوچکی شبیه فلش‌مموری است که با USB یا NFC به رایانه یا گوشی وصل می‌شود. برخلاف کد پیامکی، چیزی نیست که روی صفحه ببینید و تایپ کنید.

اثبات هویت مستقیم بین کلید و سرویس انجام می‌شود، بنابراین مهاجم چیزی ندارد که از شما بخواهد یا از پشت شانه‌تان بخواند.

مزیت اصلی این روش در برابر فیشینگ است. در یک صفحه جعلی که شبیه یاهو طراحی شده، کاربر ممکن است هم رمز و هم کد پیامکی را با دست وارد کند. کلید امنیتی اما به آدرس واقعی سرویس وابسته است و در سایت تقلبی پاسخ معتبر تولید نمی‌کند.

به همین دلیل، حتی کاربر بی‌دقت هم کمتر قربانی می‌شود.

هنگام خرید به چند نکته توجه کنید. نوع درگاه را بسنجید: برخی مدل‌ها USB-A دارند و برخی USB-C. اگر می‌خواهید با گوشی هم از کلید استفاده کنید، مدل دارای NFC بهتر است. استاندارد FIDO2 یا U2F را در مشخصات محصول بررسی کنید.

مدل‌های شناخته‌شده‌ای مانند یوبی‌کی در این دسته قرار می‌گیرند.

منبع خرید اهمیت زیادی دارد. کلید دست‌دوم یا بسته‌بندی بازشده نخرید، چون دستگاهی که قرار است حافظ حساب شما باشد نباید از قبل در اختیار فرد دیگری بوده باشد.

از فروشنده‌ای معتبر که گارانتی یا امکان بازگشت کالا دارد خرید کنید و پس از دریافت، بسته را سالم بودن مهر و موم بررسی کنید.

پیشنهاد عملی این است که دو کلید تهیه کنید. یکی را برای استفاده روزمره نگه دارید و دیگری را در جایی امن، مثل گاوصندوق یا کشوی قفل‌دار، بگذارید. اگر تنها یک کلید دارید و آن را گم کنید، باید به روش‌های دیگر حساب تکیه کنید.

پس تا زمانی که کلید پشتیبان ندارید، یک روش جایگزین را هم فعال نگه دارید.

استفاده روزمره ساده است: پس از وارد کردن رمز، کلید را به دستگاه وصل می‌کنید و دکمه یا بخش لمسی آن را فشار می‌دهید. نیازی به تایپ کد نیست و زمان ورود کوتاه‌تر می‌شود.

این روش برای مدیران کسب‌وکار، فعالان رسانه و کسانی که یاهو را برای حساب‌های مالی یا کاری استفاده می‌کنند، منطقی‌ترین انتخاب است.

پیش از خرید، در صفحه تنظیمات امنیتی حساب خودتان بررسی کنید که گزینه کلید امنیتی نمایش داده می‌شود. موجودی گزینه‌ها ممکن است بسته به حساب و دستگاه متفاوت باشد.

اعلان پوش راحت‌ترین روش تایید است. وقتی کسی وارد حساب می‌شود، پیامی روی گوشی ظاهر می‌شود و شما فقط یک دکمه را لمس می‌کنید. همین سادگی، اگر بدون دقت استفاده شود، به نقطه ضعف تبدیل می‌شود.

مهاجمی که رمز شما را دارد می‌تواند چندین بار پشت سر هم تلاش ورود کند.

این روش حمله را «خستگی از اعلان» می‌نامند. مهاجم امیدوار است که شما در نیمه‌شب یا هنگام کار، از زیادی پیام‌ها خسته شوید و برای خلاص شدن از آن‌ها روی «تایید» بزنید.

یک لمس اشتباه کافی است تا دروازه حساب باز شود، حتی اگر رمز عبور شما لو رفته باشد و بقیه سیستم درست کار کند.

قاعده ساده این است: اگر خودتان در همان لحظه تلاش برای ورود نکرده‌اید، هرگز تایید نکنید. اعلان ناخواسته را رد کنید و بلافاصله رمز را عوض کنید، چون یعنی شخص دیگری رمز فعلی را می‌داند.

بعد از تغییر رمز، فهرست دستگاه‌ها و فعالیت‌های اخیر حساب را بررسی کنید و ورودهای ناشناس را ببندید.

در ایران نکته‌ای ظریف وجود دارد. بسیاری از کاربران با VPN کار می‌کنند و موقعیت جغرافیایی نمایش‌داده‌شده ممکن است با مکان واقعی‌شان نخواند. پس ملاک تشخیص را موقعیت قرار ندهید. ملاک اصلی این است که آیا خودتان همان لحظه در حال ورود بودید یا نه.

چند اقدام ساده خطر را کم می‌کند. صفحه گوشی را قفل نگه دارید و پیش‌نمایش اعلان‌ها را در حالت قفل محدود کنید تا دیگران نتوانند از روی صفحه قفل چیزی تایید کنند.

اگر گوشی را به کودکان یا همکاران می‌دهید، پیش از آن اعلان‌های برنامه یاهو را بررسی کنید و تایید ناخواسته را به آن‌ها گوشزد کنید.

محدودیت دیگر، وابستگی به اینترنت است. اگر شبکه فیلتر یا ناپایدار باشد، اعلان ممکن است با تأخیر برسد یا اصلاً نرسد. به همین دلیل پیشنهاد می‌شود علاوه بر اعلان، یک روش دیگر مانند اپ احراز هویت هم در دسترس داشته باشید تا در شرایط قطعی یا کندی اینترنت قفل نشوید.

وقتی کد تایید یاهو به شماره موبایل شما پیامک می‌شود، امنیت حساب به امنیت سیم‌کارت گره می‌خورد. اگر کسی بتواند شماره شما را در اختیار بگیرد، کدها را هم دریافت می‌کند.

این اتفاق را «سیم‌سواپ» می‌گویند و معمولاً با فریب دادن اپراتور یا سوءاستفاده از ضعف در احراز هویت مشترک رخ می‌دهد.

در کنار سیم‌سواپ، یک خطر ساده‌تر هم وجود دارد: بازیافت شماره. در بسیاری از اپراتورها، شماره‌ای که مدتی بدون استفاده یا شارژ بماند، ممکن است غیرفعال و دوباره به فرد دیگری واگذار شود.

اگر شماره قدیمی هنوز به حساب یاهو شما وصل باشد، مالک جدید می‌تواند کدهای مربوط به آن را دریافت کند.

برای کاهش این خطر، چند کار عملی انجام دهید. شماره‌ای که به حساب مهم متصل است را فعال نگه دارید و گاهی شارژ کنید. اگر شماره را تغییر دادید، همان روز شماره جدید را در تنظیمات امنیتی حساب ثبت کنید.

هرگز سیم‌کارت اصلی را به کسی نسپارید و کد رسیده را برای هیچ‌کس نخوانید.

نشانه‌های هشدار را جدی بگیرید. اگر ناگهان آنتن گوشی بدون دلیل قطع شد و دیرتر از معمول برنگشت، یا پیامی درباره تغییر سیم‌کارت گرفتید که خودتان درخواست نکرده‌اید، فوراً با اپراتور تماس بگیرید. در همان زمان رمز یاهو را عوض کنید و فعالیت‌های اخیر حساب را بازبینی کنید.

راه‌حل بلندمدت این است که برای حساب‌های حساس، کد پیامکی را تنها روش ورود قرار ندهید. اپ احراز هویت یا کلید امنیتی به شماره موبایل وابسته نیستند و در برابر سیم‌سواپ مقاوم‌ترند. پیامک می‌تواند به‌عنوان روش پشتیبان بماند، به شرط آنکه شماره همیشه در کنترل خودتان باشد.

در نهایت، هر حسابی که به آن ایمیل‌های بانکی، رمزهای فراموش‌شده سایر سرویس‌ها یا مدارک مهم متصل است، باید با دقت بیشتری محافظت شود. چون ایمیل معمولاً کلید بازیابی بقیه حساب‌هاست، ضعف در آن می‌تواند زنجیره‌ای از مشکلات ایجاد کند.

کدهای اپ احراز هویت روی همان گوشی ذخیره می‌شوند که برنامه را نصب کرده‌اید. اگر گوشی را عوض کنید یا گم شود و برنامه‌ای برای انتقال نداشته باشید، دیگر کدی برای ورود به یاهو نخواهید داشت. بسیاری از قفل‌شدن‌های حساب دقیقاً در همین لحظه رخ می‌دهد، نه به‌دلیل حمله.

پیش از تعویض گوشی، گوشی قدیمی را کنار نگذارید و حساب را از آن خارج نکنید. ابتدا بررسی کنید اپ احراز هویت شما قابلیت انتقال یا پشتیبان‌گیری دارد یا نه. بعضی برنامه‌ها خروجی یا همگام‌سازی ابری ارائه می‌دهند و بعضی نه.

اگر قابلیتی نیست، باید بعد از نصب روی گوشی جدید، از راه تنظیمات امنیتی یاهو دوباره راه‌اندازی انجام دهید.

روش مطمئن این است که روی گوشی جدید، برنامه را نصب کنید، سپس با کد گوشی قدیمی وارد حساب شوید و در بخش امنیت، اپ احراز هویت را از نو تنظیم کنید. وقتی یک ورود موفق با گوشی جدید ثبت شد، آن‌وقت تنظیمات قدیمی را حذف کنید.

ترتیب اهمیت دارد؛ حذف زودهنگام باعث قفل شدن می‌شود.

اگر گوشی گم شد، با روش دیگری که فعال کرده‌اید وارد شوید، مثلاً کد پیامکی یا کلید امنیتی. بعد از ورود، تنظیمات احراز هویت قدیمی را حذف کنید، رمز را تغییر دهید و از تمام دستگاه‌ها خارج شوید. به همین دلیل نگه داشتن حداقل یک روش دوم همیشه توصیه می‌شود.

یک اشتباه رایج، عکس گرفتن از کد QR هنگام راه‌اندازی است. آن تصویر در واقع همان رمز اصلی تولید کد است. اگر در گالری یا فضای ابری ذخیره شود و کسی به آن دسترسی پیدا کند، می‌تواند کدهای معتبر بسازد.

بعد از اسکن، تصویر را نگه ندارید و از آن اسکرین‌شات نگیرید.

پیشنهاد می‌کنیم هر چند ماه یک‌بار بررسی کنید که روش‌های فعال هنوز کار می‌کنند: شماره درست است، برنامه روی گوشی هست و کد تولیدشده پذیرفته می‌شود. کشف مشکل در یک بررسی آرام، بسیار ارزان‌تر از کشف آن هنگام اضطرار است.

تایید دو مرحله‌ای جلوی سرقت رمز را نمی‌گیرد، اما استفاده از رمز سرقت‌شده را سخت می‌کند. مهاجمان باهوش این را می‌دانند و روش‌شان را تغییر داده‌اند. آن‌ها دیگر فقط رمز نمی‌خواهند؛ می‌خواهند کد تایید را هم لحظه‌ای از خود شما بگیرند و همان لحظه روی صفحه اصلی استفاده کنند.

سناریوی معمول چنین است: ایمیلی می‌رسد که می‌گوید حساب یاهو شما تعلیق شده یا فعالیت مشکوکی دیده شده و باید فوراً اقدام کنید. لینک به صفحه‌ای می‌رود که ظاهرش عین یاهوست.

شما رمز را وارد می‌کنید، کد پیامکی می‌رسد و وقتی آن را هم در همان صفحه می‌نویسید، مهاجم در پشت صحنه با آن وارد حساب شما می‌شود.

برای تشخیص، همیشه آدرس کامل صفحه را نگاه کنید. نشانی معتبر باید به دامنه رسمی yahoo.com ختم شود. مراقب نام‌های شبیه‌ساز باشید، مثل افزودن خط تیره، تغییر یک حرف یا استفاده از پسوندهای غیرمعمول.

لینک داخل ایمیل را کلیک نکنید و به‌جای آن، آدرس را خودتان در مرورگر وارد کنید یا از نشانک ذخیره‌شده استفاده کنید.

قانون طلایی این است که کد تایید را به هیچ‌کس نگویید. نه به تماس‌گیرنده‌ای که خود را پشتیبان معرفی می‌کند، نه در پاسخ به پیام ایمیلی، نه در تلگرام یا واتساپ. کدی که برای ورود شما ساخته شده فقط باید در صفحه ورود واقعی وارد شود و بس.

اگر به صفحه مشکوکی رمز یا کد داده‌اید، منتظر نمانید. فوراً از یک دستگاه مطمئن وارد حساب شوید، رمز را عوض کنید، از همه نشست‌های فعال خارج شوید و فعالیت‌های اخیر را بازبینی کنید. اگر ایمیل‌های ناشناسی ارسال شده یا قوانین فوروارد جدیدی ساخته شده، آن‌ها را حذف کنید.

کلید امنیتی سخت‌افزاری بهترین دفاع در برابر این شیوه حمله است، چون در صفحه تقلبی پاسخ معتبر تولید نمی‌کند. اگر هنوز از آن استفاده نمی‌کنید، دست‌کم عادت کنید که هر درخواست فوری و ترسناک درباره حساب را با شک و تأمل بخوانید.

تایید دو مرحله‌ای روی رمز عبور سوار است، نه جایگزین آن. همان‌طور که راهنمای یاهو نشان می‌دهد، حتی برای دیدن این گزینه باید حساب رمز عبور داشته باشد.

پس اگر لایه اول ضعیف باشد، لایه دوم باید بار بیشتری را تحمل کند و هر لغزش کوچکی می‌تواند ریسک را بالا ببرد.

بزرگ‌ترین خطر، تکرار یک رمز در چند سایت است. وقتی یکی از آن سایت‌ها هک شود، مهاجمان فهرست ایمیل و رمزها را در سایت‌های دیگر آزمایش می‌کنند. به این کار «پر کردن اعتبارنامه» می‌گویند و کاملاً خودکار است.

اگر رمز یاهو شما جای دیگری هم استفاده شده، ممکن است بدون اینکه خودتان خطایی کرده باشید لو برود.

رمز مناسب طولانی، یکتا و غیرقابل حدس است. به‌جای یک کلمه پیچیده با چند علامت، عبارتی چندکلمه‌ای بسازید که فقط برای یاهو به کار برود. طول بیشتر معمولاً از تعویض چند حرف با نماد مؤثرتر است. از اطلاعات شخصی مثل تاریخ تولد، شماره موبایل یا نام اعضای خانواده پرهیز کنید.

نگه‌داری رمزهای متعدد یادآوری دشوار است، پس از مدیر رمز عبور استفاده کنید. این برنامه‌ها رمزهای طولانی و منحصربه‌فرد می‌سازند و امن ذخیره می‌کنند، و شما فقط یک رمز اصلی را به خاطر می‌سپارید. رمزها را در یادداشت‌های ساده گوشی، پیام‌های ذخیره‌شده تلگرام یا فایل متنی روی دسکتاپ نگه ندارید.

بررسی کنید که ایمیل‌تان در نشت‌های اطلاعاتی شناخته‌شده حضور دارد یا نه. سرویس‌های عمومی مانند Have I Been Pwned این امکان را فراهم می‌کنند. اگر ایمیل‌تان آنجا دیده شد، رمز همه سایت‌هایی که با آن ثبت‌نام کرده‌اید را، با اولویت یاهو و بانکی‌ها، عوض کنید.

زمان تغییر رمز را هم بشناسید: بعد از هر ورود مشکوک، بعد از استفاده از رایانه عمومی یا اگر مدتی طولانی رمز را عوض نکرده‌اید. برای مراحل تغییر، می‌توانید مقاله «تغییر رمز یاهو» را در همین سایت دنبال کنید و بعد از آن، تنظیمات دو مرحله‌ای را دوباره کنترل کنید.