راهنمای فعال‌کردن تأیید دو مرحله‌ای در واتساپ، تلگرام و اینستاگرام

حساب واتساپ و تلگرام بیشتر ما فقط با یک کد پیامکی باز می‌شود، و هر کس آن کد را داشته باشد، کلید حساب را دارد. تأیید دو مرحله‌ای یک قفل دوم روی همین در است: حتی اگر کد پیامکی لو برود، بدون رمزی که فقط شما می‌دانید کسی وارد حساب نمی‌شود. این راهنما قدم‌به‌قدم نشان می‌دهد این قفل را در چهار سرویس پرکاربرد چطور روشن کنید.

در یک نگاه

• مشکل: کد پیامکی را می‌شود با فریب گرفت یا با جابه‌جایی سیم‌کارت دزدید؛ تنها قفل حساب نباید همین کد باشد.
• واتساپ: تنظیمات ← حساب (Account) ← تأیید دو مرحله‌ای (Two-step verification)؛ رمز بسازید و ایمیل اضافه کنید.
• تلگرام: تنظیمات ← حریم خصوصی و امنیت ← تأیید دو مرحله‌ای؛ رمز و ایمیل بازیابی بگذارید.
• اینستاگرام و گوگل: هر دو کد پشتیبان می‌دهند؛ آن‌ها را بیرون از گوشی نگه دارید.
• قانون طلایی: کد ورود را برای هیچ‌کس نفرستید، حتی برای دوست و خانواده.

تأیید دو مرحله‌ای یعنی چه؟

تأیید دو مرحله‌ای (Two-step verification) یا احراز هویت دوعاملی (Two-factor authentication) یعنی برای ورود به حساب، دو مدرک جداگانه لازم باشد. معمولاً یکی چیزی است که به شما می‌رسد، مثل کد پیامکی، و دیگری چیزی که فقط شما می‌دانید، مثل یک رمز. واتساپ در راهنمای رسمی خود همین را می‌گوید: ترکیب پیامک و رمز، جلوی دسترسی بی‌اجازه را می‌گیرد.

اسم این قابلیت در هر سرویس کمی فرق دارد. واتساپ و تلگرام آن را «تأیید دو مرحله‌ای» می‌نامند و اینستاگرام «احراز هویت دوعاملی». ایده در همه یکی است.

چرا کد پیامکی به‌تنهایی کافی نیست؟

کد پیامکی برای این ساخته شده که ثابت کند شماره تلفن دست شماست. اما دو راه رایج برای دور زدنش وجود دارد.

جابه‌جایی سیم‌کارت (SIM swap): کلاه‌بردار با فریب یا جعل مدارک، از اپراتور یک سیم‌کارت تازه با شماره شما می‌گیرد. از آن لحظه پیامک‌های شما به گوشی او می‌رسد. گوگل در راهنمای خود توصیه می‌کند به‌جای کد پیامکی از اعلان تأیید روی گوشی (Google prompts) استفاده کنید، چون به گفته خودش در برابر جابه‌جایی سیم‌کارت و حمله‌های مبتنی بر شماره تلفن محافظت بهتری دارد.

فریب «کد را برای من بفرست»: پیامی از حساب یکی از آشنایان می‌رسد: «یک کد اشتباهی برایت آمده، لطفاً برایم بفرستش.» در واقع کسی دارد با شماره شما وارد واتساپ یا تلگرام می‌شود و کدی که رسیده، کلید حساب خود شماست. حساب آن آشنا هم احتمالاً پیش‌تر به همین روش دزدیده شده است. واتساپ صریح می‌گوید کد ثبت‌نام را با هیچ‌کس، حتی دوستان و خانواده، در میان نگذارید.

تأیید دو مرحله‌ای جلوی هر دو حمله را تا حد زیادی می‌گیرد، چون مهاجم با داشتن کد پیامکی هنوز رمز دوم را ندارد.

واتساپ: روشن کردن تأیید دو مرحله‌ای

واتساپ در راهنمای رسمی‌اش اعلام کرده که پین ۶ رقمی قدیمی تأیید دو مرحله‌ای را به رمز عبور ارتقا می‌دهد؛ پس ممکن است به‌جای پین، از شما رمز بخواهد. مسیرها از راهنمای رسمی واتساپ است؛ چون برچسب فارسی منوها در نسخه‌های مختلف فرق می‌کند، نام انگلیسی را هم آورده‌ایم.

در اندروید

1. منوی سه‌نقطه بالای صفحه را بزنید و وارد تنظیمات (Settings) شوید.
2. حساب (Account) ← تأیید دو مرحله‌ای (Two-step verification) را باز کنید.
3. گزینه روشن کردن تأیید دو مرحله‌ای (Turn on two-step verification) را فعال کنید.
4. یک رمز قوی بسازید و دوباره واردش کنید.
5. ایمیلی را که به آن دسترسی دارید وارد کنید و «بعدی» را بزنید. این مرحله اختیاری است، اما توصیه ما این است که ردش نکنید.
6. در پایان می‌توانید این گوشی را دستگاه مورد اعتماد (Trust this device) معرفی کنید یا از این مرحله بگذرید.

در آیفون

مسیر کوتاه‌تر است: زبانه «شما» (You) ← حساب (Account) ← تأیید دو مرحله‌ای (Two-step verification). بقیه مراحل مثل اندروید است.

اگر ایمیل را در مرحله فعال‌سازی ثبت نکردید، بعداً هم از مسیر حساب ← نشانی ایمیل (Email address) می‌توانید اضافه‌اش کنید. واتساپ یک کد ۶ رقمی به همان ایمیل می‌فرستد تا مالکیتش را تأیید کنید.

تلگرام: رمز دوم و ایمیل بازیابی

تلگرام در صفحه پرسش‌های متداول خود مسیر را این‌طور آورده است: تنظیمات ← حریم خصوصی و امنیت (Privacy and Security) ← تأیید دو مرحله‌ای (2-Step Verification).

بعد از فعال‌سازی، ورود به حساب هم کد پیامکی می‌خواهد و هم رمز. تلگرام اجازه می‌دهد یک ایمیل بازیابی هم ثبت کنید تا اگر رمز را فراموش کردید، حساب از دست نرود. یک نکته مهم از خود تلگرام: آن ایمیل بازیابی هم باید رمز قوی و تأیید دو مرحله‌ای داشته باشد، وگرنه حلقه ضعیف زنجیر می‌شود.

در همان بخش حریم خصوصی و امنیت، تلگرام گزینه قفل با رمز (passcode) برای باز کردن خود برنامه هم دارد که جدا از تأیید دو مرحله‌ای است و از گوشی‌ای که دست دیگران افتاده محافظت می‌کند.

اینستاگرام: احراز هویت دوعاملی و کدهای پشتیبان

اینستاگرام تنظیمات امنیتی را به «مرکز حساب‌ها» (Accounts Center) منتقل کرده است؛ در بعضی حساب‌ها این بخش «تنظیمات حساب متا» (Meta Account settings) نام دارد. طبق راهنمای رسمی:

1. وارد تنظیمات (Settings) شوید و مرکز حساب‌ها (Accounts Center) را باز کنید.
2. رمز عبور و امنیت (Password and security) ← احراز هویت دوعاملی (Two-factor authentication) را بزنید.
3. حسابی را که می‌خواهید انتخاب کنید.
4. روش امنیتی را برگزینید و راهنمای روی صفحه را دنبال کنید.

اینستاگرام سه روش پیشنهاد می‌کند:

بعد از فعال‌سازی، از همان بخش احراز هویت دوعاملی ← روش‌های بیشتر (Additional methods) ← کدهای پشتیبان (Backup codes) فهرست کدهای پشتیبان را بگیرید. اگر گوشی را گم کنید یا کد نرسد، با یکی از این کدها وارد می‌شوید.

حساب گوگل: تأیید ۲ مرحله‌ای و ۱۰ کد پشتیبان

حساب گوگل کلید جیمیل، یوتیوب و گوگل‌درایو است و در گوشی‌های اندرویدی، حساب اصلی خود گوشی هم هست. اگر جیمیل شما ایمیل بازیابی واتساپ یا تلگرام هم باشد، اهمیتش دوچندان می‌شود. مسیر از راهنمای رسمی گوگل:

1. حساب گوگل (Google Account) را باز کنید.
2. بخش امنیت و ورود (Security & sign-in) را بزنید.
3. زیر عنوان «نحوه ورود به Google» (How you sign in to Google) گزینه روشن کردن تأیید ۲ مرحله‌ای (Turn on 2-Step Verification) را انتخاب کنید.
4. مراحل روی صفحه را دنبال کنید.

برای کدهای پشتیبان، در همان صفحه تأیید ۲ مرحله‌ای به بخش کدهای پشتیبان (Backup codes) بروید. گوگل هر بار یک دسته ۱۰ تایی کد ۸ رقمی می‌دهد. هر کد فقط یک بار کار می‌کند و با ساختن دسته تازه، دسته قبلی باطل می‌شود. گوگل تأکید می‌کند جز در صفحه ورود، هیچ‌وقت کد پشتیبان از شما نمی‌خواهد.

چک‌لیست بعد از فعال‌سازی

• رمز دوم را جایی امن یادداشت کرده‌اید، نه در گالری همان گوشی.
• ایمیل بازیابی ثبت شده و خود آن ایمیل هم تأیید دو مرحله‌ای دارد.
• کدهای پشتیبان اینستاگرام و گوگل را بیرون از گوشی نگه داشته‌اید؛ مثلاً یک نسخه چاپی کنار مدارک مهم.
• فهرست دستگاه‌های وصل به حساب را دیده‌اید و دستگاه ناآشنا را بیرون کرده‌اید.
• روی گوشی یا رایانه مشترک، گزینه «به این دستگاه اعتماد کن» را نزده‌اید.
• به خانواده گفته‌اید که کد ورود را برای هیچ‌کس نفرستند.

اگر حساب دزدیده شد چه کنیم؟

واتساپ

طبق راهنمای واتساپ، تنها راه بیرون کردن مهاجم این است که با همان شماره دوباره وارد شوید و کد ۶ رقمی پیامکی را وارد کنید؛ با این کار هر کس از حساب استفاده می‌کند خودکار بیرون می‌افتد. عوض کردن رمز به‌تنهایی مهاجم را بیرون نمی‌کند. اگر مهاجم تأیید دو مرحله‌ای را روی حساب شما روشن کرده باشد و رمزش را نداشته باشید، واتساپ می‌گوید ۷ روز صبر کنید و دوباره تلاش کنید. به دوستان و خانواده هم خبر بدهید، چون مهاجم ممکن است با نام شما از آن‌ها پول یا کد بخواهد. بدون سیم‌کارتی با همان شماره، بازیابی حساب ممکن نیست.

تلگرام

اگر روی دستگاه دیگری هنوز وارد تلگرام هستید، تأیید دو مرحله‌ای را روشن کنید و از مسیر تنظیمات ← دستگاه‌ها (Devices) نشست دستگاه ناآشنا یا گم‌شده را ببندید. اگر گوشی و سیم‌کارت دزدیده شده، اول از اپراتور بخواهید سیم‌کارت قبلی را مسدود و سیم‌کارت تازه با همان شماره صادر کند.

اینستاگرام

اگر ایمیلی از نشانی security@mail.instagram.com درباره تغییر ایمیل حساب گرفتید، ممکن است با گزینه ایمن‌سازی حساب (secure my account) در همان ایمیل بتوانید تغییر را برگردانید. راه دیگر، زدن «فراموشی رمز» (Forgot password?) در صفحه ورود و درخواست پیوند ورود است. اگر به ایمیل و شماره هم دسترسی ندارید، اینستاگرام صفحه ویژه‌ای برای حساب‌های هک‌شده دارد: instagram.com/hacked

گوگل

اگر هنوز وارد حساب هستید، فوراً رمز را عوض کنید و دستگاه‌های ناآشنا را از حساب بیرون کنید. اگر نمی‌توانید وارد شوید، صفحه بازیابی حساب گوگل (account recovery) را باز کنید و به پرسش‌ها تا جای ممکن دقیق پاسخ بدهید. گوگل توصیه می‌کند رمز هر سایتی را هم که با همان رمز حساب گوگل باز می‌شد، عوض کنید.

یک قانون که همه را خلاصه می‌کند

هیچ پشتیبانی واقعی، هیچ دوستی و هیچ «کارمند بانکی» کد ورود شما را لازم ندارد. کدی که به گوشی شما می‌رسد فقط برای این است که خودتان واردش کنید، نه اینکه برای کسی بفرستید. اگر همین یک قانون را رعایت کنید و تأیید دو مرحله‌ای را هم روشن کنید، بیشتر روش‌های رایج سرقت حساب پیام‌رسان بی‌اثر می‌شوند.