امنیت حساب ردیت: محافظت در برابر جعل هویت مدیران و کلاهبرداری OAuth

در مدل جامعه‌محور ردیت، مدیران (ماد‌ها) قدرت زیادی دارند — و همین آن‌ها را به هدف اصلی مهاجمان تبدیل می‌کند. در سال ۲۰۲۶، حمله به حساب‌های ردیت از پر کردن ساده اعتبارنامه‌ها (credential stuffing) به جعل هویت پیچیده مدیران و ترفندهای مبتنی بر اپ‌های مخرب OAuth رسیده است؛ ترفندهایی که می‌توانند کل یک ساب‌ردیت را به خطر بیندازند.

مهم‌ترین تهدیدهای امنیتی ردیت در ۲۰۲۶

۱. حملات جعل هویت مدیران

جنبه	جزئیات
هدف	مدیران ساب‌ردیت و اعضای فعال جامعه
روش	حساب‌های جعلی که نام مدیران واقعی را تقلید می‌کنند (مثلاً u/ModName_ به جای u/ModName)
مقصود	فریب کاربران برای افشای اطلاعات ورود یا کلیک روی لینک‌های مخرب
بهانه رایج	«برای جلوگیری از مسدود شدن، حسابتان را تأیید کنید» یا «تأیید جدید مدیران الزامی است»

مهاجمان حساب‌هایی می‌سازند که تقریباً عین مدیران واقعی به نظر می‌رسند و سپس با پیام خصوصی از کاربران می‌خواهند از طریق یک صفحه ورود جعلی ردیت حسابشان را «تأیید» کنند.

۲. کلاهبرداری با اپ‌های مخرب OAuth

این دست‌کم‌گرفته‌شده‌ترین تهدید ردیت است:

• مهاجم یک اپ ردیت با ظاهری معتبر می‌سازد (مثلاً «ابزار تحلیل ساب‌ردیت»)
• آن را در ساب‌ردیت‌های مرتبط به‌عنوان ابزاری مفید معرفی می‌کند
• وقتی کاربران به اپ مجوز می‌دهند، اپ به حسابشان دسترسی پیدا می‌کند
• سپس اپ می‌تواند پیام‌های خصوصی را بخواند، از طرف آن‌ها پست بگذارد یا تنظیمات ساب‌ردیت را تغییر دهد

۳. پر کردن اعتبارنامه‌ها و نشت داده

• ردیت پیش‌تر هم مورد نفوذ قرار گرفته است (۲۰۱۸، ۲۰۲۳)
• اطلاعات ورود نشت‌کرده از پلتفرم‌های دیگر روی ردیت امتحان می‌شود
• کاربرانی که رمز عبور تکراری استفاده می‌کنند به‌ویژه آسیب‌پذیرند
• حساب‌های بدون احراز هویت دومرحله‌ای (2FA) طعمه‌های آسانی هستند

نشانه‌های خطری که باید حواستان به آن‌ها باشد

پیام‌های خصوصی و پیام‌های مشکوک

• مدیرانی که از شما می‌خواهند از طریق لینک‌های خارجی «تأیید» کنید
• پیام‌هایی که ادعا می‌کنند اگر فوراً اقدام نکنید حسابتان مسدود می‌شود
• لینک به سایت‌هایی که شبیه ردیت‌اند اما ردیت نیستند (reddlt.com، reddit-verify.com)
• درخواست برای مجوز دادن به اپ‌های ناشناس شخص ثالث

نشانه‌های هک شدن حساب

• پست‌ها یا کامنت‌هایی که شما نگذاشته‌اید
• عضویت در ساب‌ردیت‌هایی که آن‌ها را نمی‌شناسید
• اپ‌های دارای مجوزی که خودتان تأییدشان نکرده‌اید
• ایمیل‌های بازنشانی رمز عبوری که درخواستشان نداده‌اید

چگونه حساب ردیت خود را ایمن کنید

۱. احراز هویت دومرحله‌ای را فعال کنید

به تنظیمات (Settings) > ایمنی و حریم خصوصی (Safety & Privacy) > احراز هویت دومرحله‌ای (Two-Factor Authentication) بروید:

• از اپ احراز هویت استفاده کنید (نه پیامک)
• کدهای پشتیبان را در جای امنی نگه دارید
• احراز هویت دومرحله‌ای ردیت از TOTP استفاده می‌کند — با هر اپ احراز هویتی سازگار است

۲. اپ‌های مجاز خود را بازبینی کنید

به‌طور منظم تنظیمات (Settings) > ایمنی و حریم خصوصی (Safety & Privacy) > اپ‌های مجاز (Authorized Applications) را بررسی کنید:

چه چیزی را بررسی کنید	چرا
نام اپ‌هایی که نمی‌شناسید	ممکن است اپ‌های مخرب OAuth باشند
اپ‌هایی با مجوزهای گسترده	«خواندن همه پیام‌ها» یا «مدیریت ساب‌ردیت‌ها» زنگ خطر است
اپ‌هایی که دیگر استفاده نمی‌کنید	فوراً دسترسی‌شان را حذف کنید
اپ‌های توسعه‌دهندگان ناشناس	پیش از نگه داشتن، درباره‌شان تحقیق کنید

۳. از رمز عبور قوی و منحصربه‌فرد استفاده کنید

• دست‌کم ۱۶ کاراکتر (ردیت رمزهای طولانی را می‌پذیرد)
• هرگز رمز ردیت خود را در سایت‌های دیگر تکرار نکنید
• برای به خاطر سپردن راحت‌تر، از یک عبارت عبور (passphrase) استفاده کنید

۴. ارتباطات مدیران را راستی‌آزمایی کنید

• مدیران واقعی از طریق مدمیل (modmail) ارتباط برقرار می‌کنند، نه پیام خصوصی
• فهرست مدیران را در تنظیمات ساب‌ردیت بررسی کنید
• به تفاوت‌های ظریف نام کاربری دقت کنید (زیرخط، عدد، I به جای l)
• اگر شک دارید، در خود ساب‌ردیت پستی بگذارید و درخواست تأیید کنید

محافظت از ساب‌ردیت خود به‌عنوان مدیر

چک‌لیست امنیتی تیم مدیران

• همه مدیران احراز هویت دومرحله‌ای را فعال کرده‌اند
• از حساب‌های مدیریتی مشترک پرهیز می‌شود (هر مدیر از حساب خودش استفاده می‌کند)
• مجوزهای مدیران در حداقلِ لازم تنظیم شده است
• قوانین AutoModerator لینک‌های مشکوک را علامت‌گذاری می‌کنند
• اعضای تیم مدیران به‌طور منظم بازبینی می‌شوند

اشتراک امن اطلاعات ورود مدیران

هنگام آوردن مدیران جدید، ممکن است لازم باشد جزئیات پیکربندی، کلیدهای API یا اطلاعات ورود ربات‌ها را با آن‌ها به اشتراک بگذارید. فرستادن این‌ها از طریق پیام خصوصی ردیت پرخطر است — اگر هر یک از دو حساب هک شود، پیام‌های خصوصی هم لو می‌روند.

از LOCK.PUB برای ساخت لینک‌های رمزگذاری‌شده و محافظت‌شده با رمز عبور استفاده کنید تا اطلاعات حساس مدیریتی را به اشتراک بگذارید، و با Pro تنظیم کنید که فقط یک بار باز شوند. پس از مشاهده، لینک دیگر باز نمی‌شود و اطلاعات ورود در تاریخچه پیام‌ها باقی نمی‌ماند.

اگر حساب ردیت شما هک شد چه کنید

اقدامات فوری

1. رمز عبور خود را فوراً از یک دستگاه مطمئن تغییر دهید
2. مجوز همه اپ‌ها را لغو کنید در reddit.com/prefs/apps
3. احراز هویت دومرحله‌ای را فعال کنید اگر هنوز فعال نیست
4. فعالیت حسابتان را بررسی کنید — پست‌ها، کامنت‌ها و رأی‌های اخیر را مرور کنید
5. تیم‌های مدیریتی خود را مطلع کنید اگر مدیر ساب‌ردیتی هستید
6. به ردیت گزارش دهید از طریق reddit.com/report

اگر نمی‌توانید وارد حسابتان شوید

• از فرایند بازیابی حساب ردیت استفاده کنید (بازنشانی از طریق ایمیل)
• با پشتیبانی ردیت در reddit.com/contact تماس بگیرید
• مدرکی برای مالکیت حساب ارائه دهید (ایمیل اصلی، تاریخ ساخت حساب)
• اگر مدیر هستید، از مدیران دیگر بخواهید موقتاً مجوزهای حساب شما را بردارند

نکات امنیتی مخصوص ردیت

محافظت از حریم خصوصی

تنظیم	توصیه	چرا
نام نمایشی	از نام واقعی خود استفاده نکنید	از افشای هویت (doxxing) جلوگیری می‌کند
حساب‌های متصل	در صورت امکان قطع اتصال کنید	افشای اطلاعات میان پلتفرم‌ها را محدود می‌کند
درخواست‌های چت	به حساب‌های قدیمی‌تر از ۳۰ روز محدود کنید	حساب‌های یک‌بارمصرف تازه را مسدود می‌کند
پیام‌های خصوصی	به کاربران مورد اعتماد محدود کنید	تلاش‌های فیشینگ را کاهش می‌دهد

عادت‌های وب‌گردی امن

• هرگز روی لینک‌هایی که کاربران ناشناس در پیام خصوصی می‌فرستند کلیک نکنید
• به پیشنهادهای «بیش از حد خوب برای واقعی بودن» در ساب‌ردیت‌ها با احتیاط نگاه کنید
• پیش از وارد کردن اطلاعات ورود، آدرس را بررسی کنید — همیشه مطمئن شوید reddit.com است
• از اپ رسمی ردیت یا یک کلاینت شخص ثالث مطمئن استفاده کنید
• به پیام‌های «فوری» مدیران بدبین باشید

اشتراک امن اطلاعات حساس

چه بخواهید کلید API را با یک مدیر دیگر به اشتراک بگذارید و چه جزئیات حسابی را به یکی از اعضای مورد اعتماد جامعه بدهید، هرگز از پیام خصوصی ردیت برای داده‌های حساس استفاده نکنید. پیام‌های ردیت برای مدت نامحدود روی سرورها ذخیره می‌شوند و ممکن است در نشت‌های داده افشا شوند.

LOCK.PUB لینک‌های محافظت‌شده با رمز عبور ارائه می‌دهد که برای اشتراک اطلاعات ورود، کلیدهای API یا فایل‌های پیکربندی ایده‌آل‌اند. یک راز را طوری تنظیم کنید که فقط یک بار باز شود (Pro) تا پس از مشاهده، لینک دیگر باز نشود — چیزی در صندوق پیام هیچ‌کس باقی نمی‌ماند. برای شروع، یک یادداشت مخفی بسازید.

جمع‌بندی

مدل باز و جامعه‌محور ردیت آن را قدرتمند می‌کند، اما در برابر مهندسی اجتماعی هم آسیب‌پذیرش می‌سازد. ترکیب جعل هویت مدیران، کلاهبرداری OAuth و پر کردن اعتبارنامه‌ها یعنی هر کاربر ردیت — به‌ویژه مدیران — باید امنیت را جدی بگیرد.

احراز هویت دومرحله‌ای را فعال کنید، اپ‌های مجاز خود را مرتب بازبینی کنید، همه ارتباطات مدیران را از مجاری رسمی راستی‌آزمایی کنید و هر وقت لازم شد اطلاعات حساسی را به اشتراک بگذارید، از ابزارهای امنی مثل LOCK.PUB استفاده کنید. به جامعه اعتماد کنید، اما همه‌چیز را راستی‌آزمایی کنید.