باختصار
ابحث عن عنوان بريدك الإلكتروني في خدمة إشعار بالخروقات مثل Have I Been Pwned، التي تُدرج 1,048 موقعًا مخترقًا حتى 3 نوفمبر 2026 [1]. الخرق هو بيانات انكشفت في نظام ضعيف الحماية [2]. وظهورك في قائمة لا يثبت وحده اختراق حسابك. وإذا شمل الخرق كلمة مرورك فغيّرها وفعّل المصادقة متعددة العوامل [3].
أهم النقاط
- حتى 3 نوفمبر 2026، يُدرج Have I Been Pwned 1,048 موقعًا مخترقًا و17,846,896,404 عنوانًا مخترقًا [1].
- ترسل خدمة Pwned Passwords أول 5 أحرف فقط من تجزئة SHA-1 لكلمة المرور، ونتيجة «no pwnage found» لا تعني بالضرورة أن كلمة المرور جيدة [4].
- بعد خرق شمل كلمة مرورك، غيّرها لدى الشركة المتضررة وفي أي حسابات تستخدم كلمة مرور مشابهة، وفعّل المصادقة متعددة العوامل [3].
- منذ 21 سبتمبر 2018 يجعل قانون اتحادي أمريكي تجميد الائتمان مجانيًا، منهيًا الرسوم في الولايات التي كانت تفرضها، ويجب على المكتب تنفيذ التجميد خلال يوم عمل واحد إذا طُلب عبر الإنترنت أو الهاتف [5]؛ وتقول FTC إن وضع التجميد ورفعه مجانيان [9].
- يضع تقرير IBM لعام 2026 متوسط تكلفة الخرق عالميًا عند 4.99 مليون دولار، لكنها تكلفة تتحملها المؤسسات لا الأفراد [6].
- يُدرج HIBP عمدًا خروقات غير متحقق منها ومفبركة [2]، فاعتبر الإدراج دليلًا على الانكشاف لا على اختراق الحساب.
في هذه الصفحة ١٤ أقسام
- هل سُرّبت بياناتي؟ وكيف أتحقق؟
- هل Have I Been Pwned آمن وموثوق؟
- ماذا تعني «pwned» وماذا تعني نتائجي؟
- كيف أتحقق مما إذا كانت كلمة مروري قد سُرّبت؟
- ما أول ما أفعله بعد خرق البيانات؟
- هل أجمّد ائتماني أم أضع تنبيه احتيال بعد الخرق؟
- كيف أعرف ما إذا كان بريدي الإلكتروني قد اختُرق أم سُرّب فقط؟
- من يدفع ثمن الخرق، وماذا تعني أرقام التكلفة؟
- ما فوائد خدمات فحص الخروقات وحدودها؟
- ماذا بعد، وما الذي لا يزال غير مؤكد؟
- أخطاء شائعة
- الأسئلة الشائعة
- مسرد المصطلحات
- المصادر
هل سُرّبت بياناتي؟ وكيف أتحقق؟
خرق البيانات، بحسب تعريف موقع Have I Been Pwned (HIBP)، هو حادثة تنكشف فيها البيانات عن غير قصد في نظام ضعيف الحماية، وغالبًا بسبب عدم كفاية ضوابط الوصول أو وجود ثغرات أمنية في البرمجيات [2]. يجمع HIBP بيانات الخروقات ليتمكن الناس من معرفة المواضع التي انكشفت فيها بياناتهم الشخصية [2]. وأسرع طريقة لمعرفة ما إذا كانت بياناتك قد سُرّبت هي البحث عن بريدك الإلكتروني هناك.
حتى 3 نوفمبر 2026، تُدرج الصفحة الرئيسية لـ HIBP 1,048 موقعًا مخترقًا و17,846,896,404 عنوانًا مخترقًا [1]. ويعرض البحث العام نتائج لعنوان بريد إلكتروني واحد أو اسم مستخدم واحد في كل مرة [2]. أما البحث في نطاق كامل فهو ميزة منفصلة تتطلب منك إثبات أنك مخوَّل بالوصول إلى ذلك النطاق [2].
لماذا قد يغيب خرق عن نتائجي؟
يعامل HIBP بعض الخروقات على أنها «حساسة». ولا يستطيع رؤيتها إلا المالك الموثَّق لعنوان البريد الإلكتروني، بتسجيل الدخول إلى لوحة التحكم وتأكيد قدرته على استلام البريد على ذلك العنوان [2]. ويُدرج HIBP 90 خرقًا حساسًا، منها Ashley Madison وAdult FriendFinder (2015 و2016) [2]. لذلك فإن البحث العادي لا يعرض كل ما قد يتعلق بعنوانك.
هل تعني النتيجة الخالية أن بياناتي آمنة؟
لا. يقول HIBP إن بحثه يغطي معظم الخروقات، بينما تتطلب الحساسة منها تسجيل الدخول [2]. وبحسب استنتاج هذا الدليل، فإن خرقًا لم يُحمَّل في الخدمة لا يمكن أن يظهر إطلاقًا. أما بالنسبة لكلمات المرور، فيقول HIBP إن نتيجة «no pwnage found» لا تعني بالضرورة أنها كلمة مرور جيدة، بل فقط أنها غير مفهرسة في الموقع [4]. اعتبر النتيجة الخالية نقطة بيانات واحدة، وأبقِ الحمايات الأساسية قائمة في كل الأحوال: كلمات مرور فريدة ومصادقة متعددة العوامل.
هل Have I Been Pwned آمن وموثوق؟
يحدّ تصميم HIBP مما يحتفظ به. فعند تحميل عناوين البريد الإلكتروني من خرق ما لا تُحمَّل معها أي كلمات مرور؛ أما خدمة Pwned Passwords المنفصلة فتفحص كلمة مرور واحدة مقابل الخروقات المعروفة [2]. ويذكر HIBP أنه لا تُخزَّن أي كلمة مرور إلى جانب بيانات تعريف شخصية، وأن كل كلمات المرور مشفرة بخوارزمية SHA-1 [2]. ويقتصر البحث العام على عنوان واحد في كل مرة [2].
ماذا يحذّر منه HIBP نفسه؟
يقر HIBP بأن المستخدمين لا يستطيعون التأكد من أنه لا يجمع عناوين البريد الإلكتروني التي يبحث عنها الناس، ويقول إنه لا يفعل ذلك، وينصح من يساوره قلق بشأن نواياه أو أمانه بعدم استخدامه [2]. وينبغي للقراء أن يوازنوا بين هذا التحذير الصريح وبين الغرض المعلن للخدمة بوصفها خدمة مجانية لتقييم المخاطر [2].
ما الذي لا يغطيه هذا الدليل؟
لا يصف هذا الدليل من يموّل HIBP أو يشغّله، ولا ما إذا كان قد خضع لتدقيق مستقل. اقرأ صفحة «About» في الموقع نفسه وقرر ما إذا كنت مرتاحًا لذلك. وإذا لم تكن كذلك، فإن الحمايات الواردة في الأقسام اللاحقة تعمل دون أي أداة فحص: كلمات مرور فريدة، ومصادقة متعددة العوامل، وتجميد الائتمان للمقيمين في الولايات المتحدة.
ماذا تعني «pwned» وماذا تعني نتائجي؟
بدأت كلمة «Pwned» في ثقافة ألعاب الفيديو بوصفها صيغة leetspeak من «owned»، وتوحي بأن أحدًا قد سيطر على شخص أو اخترقه [2]. أما في HIBP فيعني الإدراج أن بياناتك انكشفت في مكان ما. وبحسب قراءة هذا الدليل، فهو ليس دليلًا على أن أحدًا سجّل الدخول إلى حساباتك.
ماذا تعني تصنيفات الخروقات؟
- حساس: مخفي عن البحث العام ولا يراه إلا المالك الموثَّق للعنوان [2].
- غير متحقق منه: البيانات حقيقية، لكن مصدرها غير مثبت بما يتجاوز الشك المعقول [2].
- مفبرك: من غير المرجح أن يكون قد جاء من الموقع المسمّى، لكنه يحتوي على عناوين بريد إلكتروني حقيقية [2].
- متقاعد: أُزيل نهائيًا. يُدرج HIBP 2 من الخروقات المتقاعدة، هما Ticketek وVTech، ويُسحب الخرق عادةً عندما لا تكون البيانات متداولة أو معاد توزيعها في مكان آخر [2].
ما زال HIBP يُدرج الخروقات غير المتحقق منها والمفبركة لأنها تحتوي على معلومات شخصية حقيقية [2]. لذلك فإن الإدراج ليس دليلًا على أن شركة بعينها قد اختُرقت. ويشير HIBP إلى أن حتى البيانات المفبركة قد تُباع أو يُتاجر بها [2].
كيف أتحقق مما إذا كانت كلمة مروري قد سُرّبت؟
Pwned Passwords هي خدمة منفصلة من HIBP تفحص كلمة مرور واحدة مقابل الخروقات المعروفة [2]. وتعتمد على k-anonymity: تُحوَّل كلمة المرور إلى قيمة تجزئة على جهازك، ولا يُرسَل إلى الواجهة البرمجية سوى أول 5 أحرف من تجزئة SHA-1، وتجري مقارنة اللواحق المُعادة على جانبك [4]. ويقول HIBP إن الخدمة تعالج أكثر من 18 مليار طلب شهريًا [4].
لماذا تهمّ كلمة مرور مسرّبة إن كان الحساب مختلفًا؟
يستخدم المهاجمون أزواج البريد الإلكتروني وكلمة المرور المكشوفة لمحاولة الوصول إلى حسابات أخرى للضحايا، وهي تقنية تسمى حشو بيانات الاعتماد [4]. ولهذا تنصح FTC، عندما يشمل الخرق كلمة مرورك، بتغييرها في أي حسابات تستخدم كلمة مرور مشابهة [3]. ويشير HIBP أيضًا إلى أن إرشادات NIST توصي بفحص كلمات المرور مقابل مجموعات البيانات المخترقة سابقًا [4].
كيف أستفيد من النتيجة؟
- افحص كلمة مرور تستخدمها أو استخدمتها سابقًا في صفحة Pwned Passwords.
- إذا وُجدت، فتوقف عن استخدامها في كل مكان واستبدلها بكلمة مرور فريدة لكل حساب. وتقترح FTC التفكير في استخدام مدير كلمات مرور [3].
- إذا لم توجد، فلا تعتبر ذلك موافقة: فعبارة «no pwnage found» لا تعني بالضرورة أنها كلمة مرور جيدة، بل فقط أنها غير مفهرسة في الموقع [4].
ما أول ما أفعله بعد خرق البيانات؟
تعتمد الخطوات الصحيحة على ما انكشف. اتبع البنود التي تنطبق على وضعك.
- غيّر كلمة المرور. إذا شمل الخرق كلمة مرورك، فغيّرها فورًا لدى الشركة المتضررة وفي أي حسابات تستخدم كلمة مرور مشابهة. وفكّر في استخدام مدير كلمات مرور، وفعّل المصادقة متعددة العوامل (MFA) التي يمكنها حماية الحساب حتى لو انكشفت كلمة المرور [3].
- إذا انكشف حساب إلكتروني. سجّل الدخول وغيّر كلمة المرور، وكذلك اسم المستخدم إن أمكن. وإذا لم تستطع تسجيل الدخول، فاتصل بالشركة لاستعادة الحساب أو إغلاقه. وغيّر كلمة المرور في أي مكان آخر أعدتَ استخدامها فيه [7].
- إذا انكشف رقم الضمان الاجتماعي (الولايات المتحدة). اقبل خدمة مراقبة الائتمان المجانية إذا عرضتها الشركة، واحصل على تقارير ائتمان مجانية وابحث عن حسابات لا تعرفها، وفكّر في تجميد الائتمان أو وضع تنبيه احتيال [8]. ويشير دليل FTC بشأن خروقات البيانات إلى annualcreditreport.com للحصول على التقارير المجانية، ويقول إن عليك على الأقل النظر في تنبيه الاحتيال إذا قررت عدم التجميد، وينصح بتقديم الإقرار الضريبي مبكرًا [7].
- استخدم الأداة الرسمية. يقدم موقع FTC على IdentityTheft.gov/databreach خطوات بحسب نوع المعلومات المكشوفة [7].
- إذا أُسيء استخدام بياناتك. أبلغ عن ذلك عبر IdentityTheft.gov [8]، الذي يقدم خطة تعافٍ مخصصة [5].
ادخل إلى هذه الخدمات بكتابة العنوان بنفسك بدلًا من اتباع الروابط الواردة في رسالة غير متوقعة عن خرق.
هل أجمّد ائتماني أم أضع تنبيه احتيال بعد الخرق؟
يصف هذا القسم القواعد الأمريكية. منذ 21 سبتمبر 2018 يتيح قانون اتحادي أمريكي للمستهلكين تجميد الائتمان مجانًا، منهيًا الرسوم في الولايات التي كانت تفرضها [5]؛ وتقول FTC إن وضع التجميد ورفعه مجانيان [9]. وعلى القراء في بلدان أخرى مراجعة قواعد الائتمان وحماية الهوية في بلدانهم، فهي خارج نطاق هذا الدليل.
ما تجميد الائتمان؟
يستمر تجميد الائتمان حتى ترفعه، ولا يؤثر في درجتك الائتمانية [9]. وما دام قائمًا لا يستطيع أحد، بمن فيهم أنت، فتح ائتمان جديد؛ ويمكنك رفعه مؤقتًا للتقدم بطلب ائتمان أو وظيفة أو إيجار أو تأمين [9]. وتقول FTC إن التجميد لن يؤثر في قدرتك على التقدم لوظيفة أو استئجار سكن أو شراء تأمين [10]، وتصفه بأنه أفضل وسيلة للحماية من فتح حسابات جديدة باسمك [10]. عليك الطلب من المكاتب الوطنية الثلاثة جميعًا (Equifax وExperian وTransUnion). ويجب على المكتب تنفيذ التجميد خلال يوم عمل واحد إذا طلبته عبر الإنترنت أو الهاتف، ورفعه خلال ساعة واحدة [5]. ويمكن للآباء أيضًا تجميد ائتمان الأطفال دون 16 عامًا مجانًا [5].
ما تنبيه الاحتيال؟
يكفي لتنبيه الاحتيال طلب إلى مكتب واحد فقط، يُخطِر بدوره المكتبين الآخرين [5]. ومدّد قانون 2018 مدة التنبيه من 90 يومًا إلى سنة [5]. ومدة التنبيه القياسي سنة واحدة ويمكن تجديده مجانًا، أما التنبيه الممتد لضحايا سرقة الهوية فيدوم سبع سنوات [10][9]. وهو لا يحدّ من الوصول إلى تقرير ائتمانك [10].
أيهما أختار؟
يقول دليل FTC بشأن خروقات البيانات إنه إذا قررت عدم التجميد، فعليك على الأقل النظر في تنبيه الاحتيال [7]. والنصيحة تتجه إلى اتجاه واحد: التجميد يمنح حماية أكبر، وتنبيه الاحتيال هو الخيار الأخف. وإذا لم يكن في بلدك ما يعادله، فما زالت خطوات كلمة المرور والمصادقة متعددة العوامل سارية.
كيف أعرف ما إذا كان بريدي الإلكتروني قد اختُرق أم سُرّب فقط؟
التسريب والاستيلاء على الحساب حدثان مختلفان. التسريب يعني أن طرفًا ثالثًا كشف بيانات في نظام ضعيف الحماية [2]. أما الاستيلاء على الحساب فيعني أن شخصًا ما يسجّل الدخول باسمك. وبحسب قراءة هذا الدليل، تجيب أداة فحص الخروقات عن السؤال الأول لا الثاني، لأن الإدراج يدل على الانكشاف لا على دخول شخص آخر.
كيف يتحول التسريب إلى استيلاء؟
في الأساس عبر إعادة استخدام كلمات المرور. فالمهاجمون يستخدمون أزواج البريد الإلكتروني وكلمة المرور المكشوفة لمحاولة الوصول إلى حسابات أخرى للضحايا [4]. وإذا أعدتَ استخدام كلمة المرور، فغيّرها في كل مكان استُخدمت فيه [7]. وتقول FTC إن المصادقة متعددة العوامل يمكنها حماية الحساب حتى لو انكشفت كلمة المرور [3].
ماذا لو لم أعد قادرًا على تسجيل الدخول؟
اتصل بالشركة لاستعادة الحساب أو إغلاقه [7]. وتختلف علامات الاستيلاء من خدمة إلى أخرى، لذلك لا يسردها هذا الدليل؛ راجع صفحات نشاط الحساب والأمان في الخدمة نفسها. وإذا أُسيء استخدام بياناتك، فأبلغ عن ذلك عبر IdentityTheft.gov [8]، الذي يقدم خطة تعافٍ مخصصة [5].
من يدفع ثمن الخرق، وماذا تعني أرقام التكلفة؟
عناوين تكلفة الخروقات تصف ما تكلفه الحوادث للمؤسسات، لا ما تكلفه لك.
يضع تقرير IBM لتكلفة خرق البيانات لعام 2026 متوسط تكلفة الخرق عالميًا عند 4.99 مليون دولار. ويستند إلى خروقات وقعت في 602 مؤسسة بين مارس 2025 وفبراير 2026، في دراسة أجراها Ponemon Institute وتولّت IBM رعايتها وتحليلها [6]. ويقول الإصدار نفسه إن واحدًا من كل أربعة خروقات خبيثة كان مدعومًا بالذكاء الاصطناعي [6].
ووجد إصدار 2025 أن المتوسط العالمي للتكلفة انخفض بنسبة 9% إلى 4.44 مليون دولار من 4.88 مليون دولار [12]، وهو أول انخفاض منذ خمس سنوات [11][12]، بينما بلغ متوسط تكلفة الخرق في الولايات المتحدة رقمًا قياسيًا قدره 10.22 مليون دولار [11].
كيف أقرأ هذه الأرقام؟
هذه دراسات أجراها Ponemon Institute عن المؤسسات، لا عن الضحايا الأفراد [6]. ولكل إصدار عينته الخاصة، لذا اعتبر الانتقال من 4.44 مليون دولار إلى 4.99 مليون دولار سياقًا لا اتجاهًا دقيقًا. ولا يمثل أي من هذه الأرقام خسارة ينبغي أن تتوقعها شخصيًا. أما بالنسبة للأفراد، فالاستجابة العملية هي الخطوات الواردة في الأقسام السابقة.
ما فوائد خدمات فحص الخروقات وحدودها؟
الفوائد
- إجابة مجانية وسريعة عن المواضع التي انكشف فيها عنوانك، عبر 1,048 موقعًا مدرجًا حتى 3 نوفمبر 2026 [1].
- كلمات المرور تُفصل عن عناوين البريد الإلكتروني: لا تُحمَّل أي منها معها، ولا تُخزَّن أي منها إلى جانب بيانات تعريف شخصية [2].
- لا تُعرض الخروقات الحساسة إلا للمالك الموثَّق للعنوان [2].
- لا يُرسَل في فحص كلمات المرور سوى أول 5 أحرف من تجزئة SHA-1 [4].
العيوب
- يقول HIBP إن بحثه يغطي معظم الخروقات، وإن الحساسة منها تتطلب التحقق بتسجيل الدخول [2].
- بعض الإدراجات غير متحقق منها أو مفبركة، فظهور اسمك لا يثبت أن شركة بعينها اختُرقت [2].
- يقول HIBP إنه لا يمكنك التأكد من أنه لا يجمع العناوين التي يُبحث عنها، مع أنه يقول إنه لا يفعل ذلك [2].
- نتيجة «not found» لكلمة المرور لا تعني بالضرورة أنها كلمة مرور جيدة [4].
أداة الفحص مفيدة في تحديد كلمات المرور التي ينبغي تغييرها أولًا. وفي رأي هذا الدليل لا يمكنها أن تحل محل عادات مثل كلمات المرور الفريدة والمصادقة متعددة العوامل؛ فتنصح FTC بتفعيل المصادقة متعددة العوامل وتقترح التفكير في استخدام مدير كلمات مرور [3].
ماذا بعد، وما الذي لا يزال غير مؤكد؟
العدادات الرئيسية حية: فلن يطابق ما سترونه لاحقًا الرقم 17,846,896,404 عنوانًا عبر 1,048 موقعًا المعروض في 3 نوفمبر 2026 [1]. وعلى صعيد التكلفة، انتقل متوسط IBM من 4.88 مليون دولار [12] إلى 4.44 مليون دولار في تقرير 2025 [11][12] ثم إلى 4.99 مليون دولار في 2026 [6]. وكان واحد من كل أربعة خروقات خبيثة في دراسة 2026 مدعومًا بالذكاء الاصطناعي [6]. ولا تحسم هذه الأرقام ما إذا كانت الهجمات المدعومة بالذكاء الاصطناعي ستواصل رفع التكاليف.
ما لا يستطيع هذا الدليل إخبارك به
- مدى تكرار تحول بيانات الاعتماد المسرّبة إلى استيلاء على الحسابات. لا يُقدَّم هنا رقم موثَّق بمصدر.
- القواعد خارج الولايات المتحدة. حقوق الإخطار بالخروقات وحمايات الائتمان في البلدان الأخرى غير مشمولة.
- الوصول من إيران. لم يتوافر مصدر موثوق عمّا إذا كان يمكن الوصول إلى أدوات فحص الخروقات أو مديري كلمات المرور أو تطبيقات المصادقة متعددة العوامل، أو الدفع لها، من إيران، لذلك لا يُقدَّم أي ادعاء. ويمكن للقراء هناك مع ذلك تطبيق خطوات كلمة المرور والمصادقة متعددة العوامل، بينما لا تنطبق خطوات مكاتب الائتمان إلا على الملفات الائتمانية الأمريكية.
ولأن إجماليات HIBP تتغير، فإن البحث مجددًا بعد الأخبار عن خرق جديد عادة رخيصة الكلفة.
| التصنيف | معناه | كيف يتعامل معه HIBP |
|---|---|---|
| حساس | خرق مخفي عن البحث العام؛ ويُدرج HIBP 90 منها [2] | لا يراه إلا المالك الموثَّق للعنوان بعد تسجيل الدخول إلى لوحة التحكم [2] |
| غير متحقق منه | بيانات حقيقية، لكن مصدرها غير مثبت بما يتجاوز الشك المعقول [2] | يظل مدرجًا لأنه يحتوي على معلومات شخصية حقيقية [2] |
| مفبرك | من غير المرجح أن يكون قد جاء من الموقع المسمّى، لكنه يحتوي على عناوين بريد إلكتروني حقيقية [2] | يظل مدرجًا لأنه يحتوي على معلومات شخصية حقيقية [2] |
| متقاعد | 2 من الخروقات، هما Ticketek وVTech، أُزيلت نهائيًا [2] | يُسحب الخرق عادةً عندما لا تكون البيانات متداولة أو معاد توزيعها في مكان آخر [2] |
| الخاصية | تجميد الائتمان | تنبيه الاحتيال |
|---|---|---|
| المكاتب التي يجب التواصل معها | المكاتب الثلاثة كلها: Equifax وExperian وTransUnion [5] | مكتب واحد، يُخطِر المكتبين الآخرين [5] |
| التكلفة | وضعه ورفعه مجانيان [9]؛ ووضعه مجاني بموجب قانون اتحادي منذ 21 سبتمبر 2018 [5] | التنبيه القياسي قابل للتجديد مجانًا [10] |
| المدة | حتى ترفعه [9][10] | سنة واحدة للتنبيه القياسي [5]؛ وسبع سنوات للتنبيه الممتد لضحايا سرقة الهوية [10][9] |
| الوصول إلى تقرير ائتمانك | مقيَّد [5]؛ وتصف FTC التجميد بأنه أفضل وسيلة للحماية من فتح حسابات جديدة باسمك [10] | غير محدود [10] |
| التقرير | متوسط التكلفة عالميًا | متوسط التكلفة في الولايات المتحدة | الأساس |
|---|---|---|---|
| IBM Cost of a Data Breach 2025 | 4.44 مليون دولار [11][12]، بانخفاض 9% عن 4.88 مليون دولار [12] | 10.22 مليون دولار، رقم قياسي [11] | تكلفة على المؤسسات؛ وأول انخفاض عالمي منذ خمس سنوات [11][12] |
| IBM Cost of a Data Breach 2026 | 4.99 مليون دولار [6] | غير مذكور في المصادر المستخدمة هنا | 602 مؤسسة، من مارس 2025 إلى فبراير 2026؛ دراسة Ponemon Institute [6] |
أخطاء شائعة
اعتبار النتيجة الخالية دليلًا على أنه لم يتسرب شيء
الصواب: اعتبر نتيجة البحث الخالية نقطة بيانات واحدة فقط. يقول HIBP إن نتيجة كلمة المرور «no pwnage found» لا تعني بالضرورة أنها كلمة مرور جيدة، بل تعني فقط أنها غير مفهرسة في الموقع [4]. وأبقِ الحمايات الأساسية قائمة في كل الأحوال: توصي لجنة التجارة الفيدرالية الأمريكية (FTC) بتفعيل المصادقة متعددة العوامل (MFA) وبالتفكير في استخدام مدير كلمات مرور [3]. ويقول HIBP إن بحثه يغطي معظم الخروقات وإن الخروقات الحساسة تتطلب تسجيل الدخول [2]، ولذلك لا يمكن أن يظهر خرق لم يُحمَّل في الخدمة أصلًا (استنتاج هذا الدليل).
تغيير كلمة مرور الحساب المخترَق وحده وترك الحسابات التي أعدتَ استخدام كلمة المرور فيها
الصواب: إذا شمل الخرق كلمة مرورك، فغيّرها لدى الخدمة المتضررة وفي أي حسابات تستخدم كلمة مرور مشابهة، وفعّل المصادقة متعددة العوامل [3]. يستخدم المهاجمون أزواج البريد الإلكتروني وكلمة المرور المكشوفة لتجربتها على حسابات أخرى [4].
افتراض أن ظهور اسمك في قائمة يثبت اختراق حسابك أو اختراق الشركة المذكورة
الصواب: افهم الإدراج على أنه «بياناتك انكشفت»، لا «حسابي اخترق» ولا «هذه الشركة اختُرقت حتمًا». يُدرج HIBP الخروقات غير المتحقق منها والمفبركة لأنها تحتوي على معلومات شخصية حقيقية، ويشير إلى أن حتى البيانات المفبركة قد تُباع أو يُتاجر بها [2].
الاكتفاء بكلمات المرور حين تنكشف بيانات هوية حساسة
الصواب: إذا انكشف رقم الضمان الاجتماعي، يمكن للقراء في الولايات المتحدة قبول خدمة مراقبة الائتمان المجانية، والحصول على تقارير ائتمان مجانية، والنظر في تجميد الائتمان أو وضع تنبيه احتيال [8]. يشير دليل FTC بشأن خروقات البيانات إلى annualcreditreport.com للحصول على التقارير المجانية، ويقول إن عليك على الأقل النظر في تنبيه الاحتيال إذا قررت عدم التجميد، وينصح بتقديم الإقرار الضريبي مبكرًا [7].
الخلط بين تنبيه الاحتيال وتجميد الائتمان
الصواب: يتطلب التجميد طلبات إلى المكاتب الثلاثة ويقيّد الوصول إلى تقريرك، بينما يتطلب تنبيه الاحتيال طلبًا واحدًا [5]. التنبيه لا يحدّ من الوصول إلى تقرير ائتمانك، وتصف FTC التجميد بأنه أفضل وسيلة للحماية من فتح حسابات جديدة باسمك [10].
قراءة عناوين تكلفة الخروقات على أنها ما سيكلفك الخرق شخصيًا
الصواب: تصف متوسطات IBM تكاليف تتحملها المؤسسات في دراسات يجريها Ponemon Institute، وليست خسائر للأفراد [6]. استخدمها للسياق فقط.
الأسئلة الشائعة
كيف أتحقق مما إذا كان بريدي الإلكتروني قد ظهر في خرق بيانات؟
ابحث عن العنوان في Have I Been Pwned، الذي يعرض نتائج لعنوان بريد إلكتروني واحد أو اسم مستخدم واحد في كل مرة [2]. وحتى 3 نوفمبر 2026 تُدرج الخدمة 1,048 موقعًا مخترقًا [1]. لا تظهر الخروقات الحساسة إلا بعد تسجيل الدخول إلى لوحة التحكم وتأكيد قدرتك على استلام البريد على ذلك العنوان [2]. والنتيجة الخالية ليست دليلًا على الأمان.
هل Have I Been Pwned آمن؟
يقول HIBP إنه لا تُخزَّن أي كلمة مرور إلى جانب بيانات تعريف شخصية، وإن كل كلمات المرور مشفرة بخوارزمية SHA-1 [2]. ويقر بأن المستخدمين لا يستطيعون التأكد من أنه لا يجمع عناوين البريد التي يبحثون عنها، ويقول إنه لا يفعل ذلك، وينصح من يساوره قلق بشأن نواياه أو أمانه بعدم استخدامه [2]. قرر ما إذا كان هذا يناسبك؛ فالحمايات الواردة في هذا الدليل تعمل دون أي أداة فحص.
ماذا تعني كلمة pwned؟
بدأت كلمة «Pwned» في ثقافة ألعاب الفيديو بوصفها صيغة leetspeak من «owned»، وتوحي بأن أحدًا قد سيطر على شخص أو اخترقه [2]. وفي HIBP يعني الإدراج أن بياناتك انكشفت في خرق، وغالبًا بسبب عدم كفاية ضوابط الوصول أو ثغرات في البرمجيات [2]. وبحسب قراءة هذا الدليل، فهو لا يثبت أن أحدًا سجّل الدخول إلى حساباتك.
ماذا أفعل إذا ظهر بريدي الإلكتروني في خرق بيانات؟
إذا شمل الخرق كلمة مرورك، فغيّرها لدى الشركة المتضررة وفي أي حسابات تستخدم كلمة مرور مشابهة، وفعّل المصادقة متعددة العوامل [3]. وفكّر في استخدام مدير كلمات مرور [3]. وإذا انكشف حساب إلكتروني ولم تستطع تسجيل الدخول، فاتصل بالشركة لاستعادته أو إغلاقه [7]. وحدد بقية الخطوات بحسب نوع البيانات المكشوفة.
هل يعني خرق البيانات أن حسابي اخترق؟
ليس بالضرورة. يعرّف HIBP الخرق بأنه بيانات انكشفت في نظام ضعيف الحماية [2]؛ والانكشاف وحده، بحسب قراءة هذا الدليل، ليس دخول شخص آخر إلى حسابك. ويمكن للمهاجمين استخدام أزواج البريد الإلكتروني وكلمة المرور المكشوفة لتجربتها على حسابات أخرى، وهي تقنية تسمى حشو بيانات الاعتماد [4]. وإذا أعدتَ استخدام كلمة المرور فغيّرها في كل مكان [7]. وإذا لاحظت إساءة استخدام فأبلغ عنها عبر IdentityTheft.gov [8]، الذي يقدم خطة تعافٍ مخصصة [5].
ما الفرق بين تنبيه الاحتيال وتجميد الائتمان؟
يتطلب التجميد طلبات إلى المكاتب الثلاثة (Equifax وExperian وTransUnion) [5] ويستمر حتى ترفعه [9][10]. أما تنبيه الاحتيال فيتطلب طلبًا واحدًا يُخطَر به المكتبان الآخران، ومدة التنبيه القياسي سنة واحدة [5]، ويمكن تجديده مجانًا [10]. وتصف FTC التجميد بأنه أفضل وسيلة للحماية من فتح حسابات جديدة باسمك، وتشير إلى أن التنبيه لا يحدّ من الوصول إلى تقريرك [10].
هل تُخزَّن كلمات مروري في Have I Been Pwned؟
عند تحميل عناوين البريد الإلكتروني من خرق ما إلى HIBP لا تُحمَّل معها أي كلمات مرور [2]. أما خدمة Pwned Passwords المنفصلة فتفحص كلمة مرور واحدة في كل مرة؛ إذ تُحوَّل إلى قيمة تجزئة على جهازك ولا يُرسَل سوى أول 5 أحرف من تجزئة SHA-1 [4]. ويقول HIBP إنه لا تُخزَّن أي كلمة مرور إلى جانب بيانات تعريف شخصية [2].
ما الخرق الحساس في Have I Been Pwned؟
الخرق الحساس هو خرق يخفيه HIBP عن البحث العام. ولا يراه إلا المالك الموثَّق لعنوان البريد الإلكتروني، بتسجيل الدخول إلى لوحة التحكم وتأكيد قدرته على استلام البريد على ذلك العنوان [2]. ويُدرج HIBP 90 خرقًا حساسًا، منها Ashley Madison وAdult FriendFinder (2015 و2016) [2].
مسرد المصطلحات
- خرق البيانات
- حادثة تنكشف فيها البيانات عن غير قصد في نظام ضعيف الحماية، وغالبًا بسبب عدم كفاية ضوابط الوصول أو ثغرات في البرمجيات.
- Pwned
- مصطلح عامي بدأ في ثقافة ألعاب الفيديو بوصفه صيغة leetspeak من «owned»، ويستخدمه HIBP للدلالة على ظهور بياناتك في خرق معروف.
- حشو بيانات الاعتماد
- استخدام أزواج البريد الإلكتروني وكلمة المرور المكشوفة لمحاولة تسجيل الدخول إلى الحسابات الأخرى للضحية.
- المصادقة متعددة العوامل (MFA)
- طريقة لتسجيل الدخول تطلب شيئًا يتجاوز كلمة المرور، ويمكنها حماية الحساب حتى لو انكشفت كلمة المرور.
- تجزئة SHA-1
- تحويل أحادي الاتجاه لكلمة المرور إلى سلسلة ثابتة الطول، يستخدمه HIBP حتى لا تُخزَّن كلمات المرور بصيغة مقروءة.
- k-anonymity
- تقنية لا يُرسَل فيها إلى الخدمة سوى أول 5 أحرف من تجزئة كلمة المرور، فلا تغادر كلمة المرور الكاملة جهازك.
- تجميد الائتمان
- قيد على الوصول إلى تقرير ائتمانك يستمر حتى ترفعه ويساعد على منع فتح ائتمان جديد باسمك.
- تنبيه الاحتيال
- إشعار على ملفك الائتماني يُوضع عبر مكتب واحد، ومدته سنة واحدة في صورته القياسية، ولا يحدّ من الوصول إلى تقرير ائتمانك.
المصادر
- Have I Been Pwned: Check if your email address has been exposed in a data breach Have I Been Pwned (Troy Hunt); live page, retrieved 2026-11-03
- Have I Been Pwned: Frequently Asked Questions Have I Been Pwned; live page, retrieved 2026-11-02
- Have you been affected by a data breach? Read on US Federal Trade Commission (Consumer Advice)
- Pwned Passwords Have I Been Pwned; live page, retrieved 2026-11-03
- Starting Today, New Federal Law Allows Consumers to Place Free Credit Freezes And Yearlong Fraud Alerts US Federal Trade Commission · 2018-09-21
- IBM Study: One in Four Malicious Breaches are AI-Enabled, Costing Companies $6 Million on Average IBM Newsroom (Cost of a Data Breach Report 2026, Ponemon Institute) · 2026-07-29
- Data Breaches: What to know, What to do US Federal Trade Commission
- What To Do After a Data Breach US Federal Trade Commission (Consumer Advice)
- Credit Freezes and Fraud Alerts US Federal Trade Commission (Consumer Advice)
- Is a credit freeze or fraud alert right for you? US Federal Trade Commission (Consumer Advice)
- Average global data breach cost now $4.44 million Help Net Security (reporting IBM Cost of a Data Breach Report 2025) · 2025-08-04
- 2025 Cost of a Data Breach Report: Navigating the AI rush without sidelining security IBM X-Force
