« Uw rekening wordt geblokkeerd. Bevestig hier uw gegevens: securite-clientweb-verif[.]info »
Op een scherm valt dit bericht snel door de mand. Het oog blijft haken aan de vreemde afzender, de eindeloos lange domeinnaam, de verkeerd geplaatste punt, de onregelmatige spatiëring, het licht vervaagde logo. In minder dan twee seconden heeft een geoefende gebruiker drie afwijkingen opgemerkt, zonder ze zelfs maar te benoemen.
Beluister het nu eens. Een schermlezer spreekt uit: « Uw rekening wordt geblokkeerd. Bevestig hier uw gegevens, dubbele punt, h-t-t-p-s dubbele punt slash slash securite streepje clientweb streepje verif punt info ». Het tempo is lineair, neutraal, zonder hiërarchie. Geen van de visuele afwijkingen bestaat nog. Er blijft alleen een zin over, en een zin beoordeel je op de inhoud — precies datgene waaraan de oplichter zorg heeft besteed.
Het is een blinde vlek die in preventiecampagnes vrijwel nooit ter sprake komt: vrijwel alle anti-smishingadviezen berusten op visuele aanwijzingen. Voor blinden, slechtzienden, of simpelweg voor wie zijn telefoon met vermoeide ogen in zeer grote letters gebruikt, werken die adviezen eenvoudigweg niet.
Een grotere doelgroep dan je denkt
Volgens gegevens van de Fédération des Aveugles et Amblyopes de France en onderzoek van de DREES naar handicaps geven ongeveer 1,7 miljoen mensen in Frankrijk aan een visuele stoornis te hebben, van wie bijna 200.000 blind of ernstig slechtziend zijn. Daar komt een veel bredere groep bij: mensen boven de 70 met leeftijdsgebonden maculadegeneratie (LMD), cataract of glaucoom, die niet per se hulpmiddelen gebruiken maar hun telefoon met moeite lezen, met gestrekte arm, onder een lamp.
Deze gebruikers staan niet buitenspel. Sinds de komst van VoiceOver op de iPhone en TalkBack op Android is de smartphone een belangrijk instrument voor zelfstandigheid geworden: sms'jes lezen, een taxi bellen, een bankbiljet herkennen, een foto laten beschrijven. Het INSEE stelt vast dat het percentage mensen met een handicap dat over een mobiele telefoon beschikt gelijk is aan dat van de algemene bevolking.
Logisch gevolg: zij ontvangen exact hetzelfde volume aan frauduleuze sms'jes als ieder ander. Oplichters kopen nummerbestanden; ze weten niet — en willen ook niet weten — wie erachter zit. Van gerichte selectie is hier geen sprake. Wat wél verschilt, is het slagingspercentage.
Wat de synthetische stem wegvlakt
Om het probleem te begrijpen moet je uiteenzetten wat het auditieve kanaal wegneemt ten opzichte van het visuele kanaal.
| Klassiek alarmsignaal | Waargenomen met het oog | Waargenomen via schermlezer |
|---|---|---|
Misleidende domeinnaam (impots-gouv[.]services) | Meteen, de structuur springt in het oog | Voorgelezen als een reeks lettergrepen, zonder hiërarchie |
| Slecht nagemaakte typografie of logo | Meteen | Onbestaand |
| Spelfouten | Meteen | Vaak weggevlakt door de uitspraak |
| Afzender met een lang nummer (+33 6…) | In één oogopslag zichtbaar | Voorgelezen, maar verdrinkt in de stroom |
| Verkorte link (bit.ly…) | Onmiddellijk verdacht | Betekent niets voor het oor |
| Opmaak in hoofdletters en urgentie | Visueel agressief | Geneutraliseerd door de vlakke intonatie |
Het ernstigste punt betreft de URL's. Het brein leest een webadres van rechts naar links: je zoekt eerst het hoofddomein, vlak vóór de eerste slash. Dat is een ruimtelijke reflex. Gesproken verdwijnt die structuur: secure.ameli.fr en ameli.secure-verif.fr klinken voor een ongeoefend oor nagenoeg identiek, terwijl het tweede niets met de Assurance Maladie te maken heeft.
Tweede probleem: de homoglyfen. Oplichters vervangen een « l » door een hoofdletter « I », een « o » door een nul, of gebruiken visueel identieke Cyrillische letters. Visueel is dat soms te detecteren. Auditief is het volstrekt onzichtbaar — de spraaksynthese spreekt gewoon het verwachte woord uit.
Derde probleem: de fouten. Een « uw rekening is geblokkeerdt » springt in het oog. Voorgelezen door een synthetische stem verdampt de spelfout volledig.
Uitgebreidheid: de instelling die alles verandert
Er bestaat nochtans een zeer doeltreffende en verrassend weinig bekende tegenmaatregel: de uitgebreidheid (verbositeit) van de schermlezer verhogen.
Standaard zijn VoiceOver en TalkBack ingesteld op vloeiendheid. Je kunt ze zo configureren dat ze veel meer aankondigen:
- Links teken voor teken spellen in plaats van ze als woorden uit te spreken. Het is trager, maar een frauduleus domein wordt zo hoorbaar;
- De leestekens aankondigen (« punt », « streepje », « slash ») en dat systematisch, door het interpunctieniveau op « Alles » te zetten;
- Hoofdletters signaleren, wat de « I » onthult die de « l » vervangt;
- Niet-standaardtekens of taalwisselingen aankondigen, wat het gebruik van gemengde alfabetten verraadt.
Op de iPhone vind je die instellingen in Instellingen → Toegankelijkheid → VoiceOver → Uitgebreidheid. Op Android in Instellingen → Toegankelijkheid → TalkBack → Voorkeuren voor uitgebreidheid. Praktisch advies: blijf niet permanent in de maximale stand — dat is uitputtend — maar weet hoe je erop overschakelt zodra een bericht een link of een verzoek om gegevens bevat.
Veel gebruikers werken overigens met een koptelefoon met beengeleiding om hun schermlezer te beluisteren zonder zich af te sluiten van de omgevingsgeluiden; dat is een goede metgezel wanneer je op straat rustig de tijd wilt nemen om een adres te laten spellen zonder de inhoud ervan luidkeels rond te bazuinen.
Het gebaar dat een sms leesbaar maakt: braille
Voor uitgeruste gebruikers verandert de brailleleesregel de zaak volledig. Waar spraaksynthese alles lineair maakt, geeft braille de tekenreeks weer zoals ze is: elke punt, elk streepje, elke hoofdletter is fysiek aanwezig onder de vinger. Een frauduleuze URL wordt weer analyseerbaar, precies zoals met het oog.
Het probleem is financieel. Een vernieuwbare brailleleesregel kost enkele duizenden euro's, ook al kan de Prestation de Compensation du Handicap (PCH) via de MDPH een deel ervan financieren. Veel gebruikers beschikken er niet over.
Een gratis tussenoplossing: de modus « teken voor teken lezen ». Zowel op VoiceOver als op TalkBack kun je met een verticale veegbeweging de navigatiemodus van de tekst wijzigen (woord, teken, regel). Overschakelen naar de tekenmodus en een link doorlopen vóór je erop klikt, kost twintig seconden. Het is het meest rendabele gebaar uit dit hele artikel.
Lichte slechtziendheid: de valkuil van de zoom
Mensen met een beperkt gezichtsvermogen zijn er niet beter aan toe, om een omgekeerde reden. Wie leest met een vergroting van 300 %, ziet slechts een fragment van een regel tegelijk. Het leesveld is teruggebracht tot enkele woorden. En het herkennen van oplichting berust grotendeels op het totaalbeeld: het is de combinatie van afzender, toon en link die alarmeert, niet elk element afzonderlijk.
Een gebruiker met sterke vergroting leest zijn sms dus als door een tunnel. Hij ziet « Assurance Maladie », en drie schuifbewegingen later een link die hij mentaal niet meer aan de context koppelt. Voeg daar de oogvermoeidheid aan toe: na twintig minuten schermgebruik zakt de waakzaamheid weg.
Een paar aanpassingen helpen echt:
- Schakel hoog contrast en vette tekst in bij de toegankelijkheidsinstellingen, in plaats van de zoom tot het maximum op te drijven;
- Gebruik een draagbare elektronische loep voor papieren documenten die je parallel ontvangt (brieven van instanties, bankgegevens): zo vermijd je dat je kanalen door elkaar haalt en een echte brief met een valse sms verwart;
- Zet een bureaulamp met daglichtkleur naast de stoel waar je je telefoon raadpleegt: slechte verlichting verdubbelt de leestijd en halveert de kritische aandacht;
- Lees gevoelige berichten niet onderweg, staand in de bus. Daar worden de verkeerde klikken gemaakt.
Sommigen verkiezen trouwens om hun gebruik te scheiden: een smartphone voor internet, en een mobiele telefoon met grote toetsen voor de dagelijkse gesprekken. Dat is geen achteruitgang, maar een bewuste verkleining van het aanvalsoppervlak — minder apps, minder gekoppelde accounts, minder klikbare links.
Het echte schild: regels over inhoud, niet over vorm
Aangezien vormaanwijzingen ontoegankelijk zijn, moet de waakzaamheid worden opgebouwd op wat perfect hoorbaar blijft: de inhoud van het bericht. Deze regels hebben het voordeel universeel te zijn en niets aan het zicht te ontlenen.
Geen enkele overheidsinstantie, geen enkele bank en geen enkele provider vraagt per sms om een betaling, een bankkaartnummer, een per sms ontvangen code, een wachtwoord of een kopie van een identiteitsbewijs.
Deze zin wordt woordelijk overgenomen door Cybermalveillance.gouv.fr, de DGCCRF en de Banque de France. Ze volstaat om de overgrote meerderheid van smishingcampagnes af te wijzen, zonder ook maar één pixel te hoeven inspecteren.
Drie inhoudelijke signalen om te onthouden, die allemaal uitstekend overkomen via het oor:
- De getalsmatige urgentie. « Binnen 48 uur », « laatste herinnering », « vóór middernacht ». Een Franse overheidsinstantie legt nooit zo'n korte termijn op via een bericht. Ze schrijft.
- Het kleine bedrag. € 1,79, € 2,90, € 0,99. Het belachelijk lage bedrag ontwapent het wantrouwen; het dient enkel om het kaartnummer te bemachtigen.
- Het onverwachte kanaal. Je hebt niets besteld, niets aangegeven, niets gevraagd. Een bericht dat zonder voorafgaande aanleiding binnenkomt, is per definitie verdacht.
De terugbelregel: volg nooit het bericht
De centrale reflex, toegankelijk voor iedereen, past in één zin: gebruik nooit het contactkanaal dat het bericht zelf aanreikt.
Concreet: je sluit de sms en neemt contact op met de instantie via een weg die je al beheerst:
- Het nummer dat in je contacten staat of op de achterkant van je bankkaart;
- De officiële app op de telefoon, handmatig geopend;
- Een vooraf opgeslagen bladwijzer in de browser.
Hier telt de voorbereiding. Door vooraf en duidelijk de nummers van je bank, je zorgverzekeringskas, je provider en je gemeentehuis op te slaan, hoef je ze niet in allerijl te zoeken — precies het moment waarop je klikt. Veel gebruikers houden daarnaast een notitieboekje in grote letters of in braille bij met die referentiegegevens, buiten de telefoon. Bij twijfel lees je het boekje, niet het bericht.
Voor wie meerdere wachtwoorden beheert, biedt een wachtwoordmanager die compatibel is met schermlezers een onverwacht veiligheidsvoordeel: hij vult de inloggegevens niet automatisch in op een frauduleuze site, omdat het domein niet overeenkomt. Die weigering om in te vullen wordt een waarschuwing die je zonder zicht kunt waarnemen.
Melden: 33700 is toegankelijk
De nationale meldvoorziening voor ongewenste sms'jes werkt in twee richtingen en vereist geen ingewikkelde visuele handelingen.
- Via doorsturen: stuur de verdachte sms gratis door naar 33700. De dienst antwoordt vervolgens met een bericht waarin om het nummer van de afzender wordt gevraagd, dat je op jouw beurt moet doorsturen.
- Via de website: het platform van 33700 maakt een online melding mogelijk, compatibel met schermlezers.
- Voor duidelijke oplichtingspogingen: het platform Pharos (internet-signalement.gouv.fr) en de site Cybermalveillance.gouv.fr, die doorverwijst naar dienstverleners in de buurt.
Als er geld is afgeschreven, is de procedure dezelfde als voor iedereen: onmiddellijk verzet aantekenen bij de bank, aangifte doen, en een beroep doen op de artikelen L133-18 en volgende van de Code monétaire et financier, die voorzien in terugbetaling van een niet-toegestane transactie.
Belangrijk punt voor naasten en mantelzorgers: iemand met een visuele beperking die slachtoffer wordt van smishing, is niet « nalatig » geweest. De omgekeerde redenering is vaak te horen en is onrechtvaardig. Deze persoon is informatie onthouden die de interface niet doorgaf. De verantwoordelijkheid ligt bij het ontwerp, niet bij de gebruiker.
Wat de betrokken partijen zouden moeten verbeteren
Het moet duidelijk gezegd worden: het grootste deel van het werk zou niet bij de potentiële slachtoffers moeten liggen.
- Berichtenapps zouden het werkelijke domein van een link expliciet kunnen aankondigen aan de schermlezer, nog vóór het openen, in plaats van de ruwe URL voor te lezen.
- Publieke preventiecampagnes zouden er goed aan doen audiodescriptieve versies aan te bieden: de meeste bewustmakingsbeelden die door providers en banken worden verspreid, zijn schermafbeeldingen… zonder alternatieve tekst.
- De geverifieerde zakelijke afzenders van de RCS-standaard, met hun vooraf gecontroleerde identiteit, vormen een serieus spoor: gestructureerde authenticiteitsinformatie is namelijk wél weer te geven door een schermlezer, in tegenstelling tot een logo.
Intussen wordt de waakzaamheid opgebouwd op drie eenvoudige pijlers: je schermlezer zo instellen dat hij links spelt, het bericht beoordelen op de inhoud en niet op het uiterlijk, en nooit terugbellen via het aangeboden kanaal. Drie handelingen die geen enkel zicht vereisen — en die net zo goed beschermen wie wél kan zien.
