„Twoje konto zostanie zawieszone. Potwierdź swoje dane tutaj: securite-clientweb-verif[.]info”
Na ekranie taka wiadomość szybko się zdradza. Oko wychwytuje dziwnego nadawcę, przydługą nazwę domeny, kropkę w złym miejscu, nierówne odstępy, lekko rozmyte logo. W niecałe dwie sekundy wprawiony użytkownik wyłapuje trzy nieprawidłowości, nawet ich nie nazywając.
A teraz posłuchaj tej wiadomości. Czytnik ekranu wypowiada: „Twoje konto zostanie zawieszone. Potwierdź swoje dane tutaj, dwukropek, h-t-t-p-s dwukropek ukośnik ukośnik securite myślnik clientweb myślnik verif kropka info”. Tempo jest równe, neutralne, bez żadnej hierarchii. Żadna z wizualnych nieprawidłowości już nie istnieje. Zostaje tylko zdanie, a zdanie ocenia się po treści — czyli dokładnie po tym, co oszust dopracował.
To niemal nigdy nieporuszany martwy punkt kampanii profilaktycznych: praktycznie wszystkie porady dotyczące ochrony przed smishingiem opierają się na sygnałach wizualnych. Dla osób niewidomych, słabowidzących albo po prostu tych, które korzystają z telefonu w bardzo dużej czcionce, bo wzrok się męczy, te porady zwyczajnie nie działają.
Grupa większa, niż się wydaje
Według danych Fédération des Aveugles et Amblyopes de France oraz badań DREES dotyczących niepełnosprawności około 1,7 miliona osób we Francji deklaruje zaburzenia widzenia, z czego blisko 200 tysięcy to osoby niewidome lub z głębokim niedowidzeniem. Do tego dochodzi znacznie liczniejsza grupa: osoby po 70. roku życia dotknięte zwyrodnieniem plamki żółtej związanym z wiekiem (AMD), zaćmą czy jaskrą, które niekoniecznie korzystają z pomocy technicznych, ale czytają z telefonu z trudem, na wyciągnięcie ręki, pod lampą.
Ci użytkownicy nie są odcięci od sieci. Od czasu pojawienia się VoiceOver w iPhone'ach i TalkBacka w Androidzie smartfon stał się kluczowym narzędziem samodzielności: czytanie SMS-ów, zamawianie taksówki, rozpoznawanie banknotu, opis zdjęcia. INSEE odnotowuje, że poziom wyposażenia w telefon komórkowy wśród osób z niepełnosprawnością zrównał się z poziomem ogółu populacji.
Logiczna konsekwencja: dostają one dokładnie taką samą liczbę oszukańczych SMS-ów jak wszyscy. Oszuści kupują bazy numerów; nie wiedzą — i nie próbują ustalić — kto jest po drugiej stronie. Celowanie w konkretne osoby tu nie istnieje. Zmienia się natomiast skuteczność ataku.
Co usuwa syntetyczny głos
Żeby zrozumieć problem, trzeba wyszczególnić, co kanał słuchowy eliminuje w porównaniu z kanałem wzrokowym.
| Klasyczny sygnał ostrzegawczy | Odbiór wzrokowy | Odbiór przez czytnik ekranu |
|---|---|---|
Zwodnicza nazwa domeny (impots-gouv[.]services) | Natychmiastowy, struktura rzuca się w oczy | Odczytana jako ciąg sylab, bez hierarchii |
| Źle podrobiona typografia lub logo | Natychmiastowy | Nie istnieje |
| Błędy ortograficzne | Natychmiastowy | Często zacierane przez wymowę |
| Nadawca w postaci długiego numeru (+33 6…) | Widoczny na pierwszy rzut oka | Odczytany, ale ginie w potoku mowy |
| Skrócony link (bit.ly…) | Natychmiastowe podejrzenie | Dla ucha nic nie znaczy |
| Układ z wersalikami i poczuciem pilności | Wizualnie agresywny | Zneutralizowany przez płaską intonację |
Najpoważniejsza sprawa dotyczy adresów URL. Mózg czyta adres internetowy od prawej do lewej: najpierw szuka domeny głównej tuż przed pierwszym ukośnikiem. To odruch przestrzenny. W wersji mówionej ta struktura znika: secure.ameli.fr i ameli.secure-verif.fr brzmią dla niewprawionego ucha niemal identycznie, choć ten drugi nie ma nic wspólnego z Assurance Maladie.
Drugi problem: znaki homoglificzne. Oszuści zastępują „l” wielkim „I”, „o” zerem albo używają wizualnie identycznych liter cyrylicy. Wzrokowo bywa to wykrywalne. Dźwiękowo jest całkowicie niewidoczne — syntezator wymawia oczekiwane słowo.
Trzeci problem: błędy językowe. „Twoje konto zostały zawieszone” od razu kłuje w oczy. Odczytane przez syntezator mowy błędne dopasowanie form całkowicie się ulatnia.
Szczegółowość odczytu: ustawienie, które zmienia wszystko
Istnieje jednak bardzo skuteczny i zaskakująco mało znany środek zaradczy: zwiększenie szczegółowości odczytu w czytniku ekranu.
Domyślnie VoiceOver i TalkBack są ustawione pod kątem płynności. Można je skonfigurować tak, by zapowiadały znacznie więcej:
- Literowanie linków znak po znaku zamiast wymawiania ich jak słów. To wolniejsze, ale oszukańcza domena staje się słyszalna;
- Zapowiadanie interpunkcji („kropka”, „myślnik”, „ukośnik”) w sposób systematyczny, przez ustawienie poziomu interpunkcji na „Wszystko”;
- Sygnalizowanie wielkich liter, co ujawnia „I” podstawione zamiast „l”;
- Zapowiadanie znaków niestandardowych i zmian języka, co zdradza mieszanie alfabetów.
W iPhonie te ustawienia znajdziesz w Ustawienia → Dostępność → VoiceOver → Szczegółowość. W Androidzie: Ustawienia → Dostępność → TalkBack → Ustawienia szczegółowości. Praktyczna rada: nie zostawiać trybu maksymalnego na stałe — jest wyczerpujący — ale umieć się na niego przełączyć, gdy tylko wiadomość zawiera link albo prośbę o dane.
Wielu użytkowników pracuje zresztą ze słuchawkami z przewodnictwem kostnym, by słuchać czytnika ekranu bez odcinania się od dźwięków otoczenia; to dobry towarzysz, gdy chce się spokojnie przeliterować adres na środku ulicy, nie ogłaszając jego treści całej okolicy.
Gest, który czyni SMS czytelnym: brajl
Dla użytkowników, którzy mają odpowiedni sprzęt, monitor brajlowski całkowicie zmienia sytuację. Tam, gdzie synteza mowy linearyzuje, brajl oddaje ciąg znaków dokładnie takim, jaki jest: każda kropka, każdy myślnik, każda wielka litera są fizycznie obecne pod palcem. Oszukańczy adres URL znów daje się przeanalizować, dokładnie tak jak wzrokiem.
Problem jest ekonomiczny. Odświeżalny monitor brajlowski kosztuje kilka tysięcy euro, nawet jeśli świadczenie kompensacyjne z tytułu niepełnosprawności (PCH) może częściowo sfinansować zakup przez MDPH. Wielu użytkowników go nie ma.
Rozwiązanie pośrednie i darmowe: tryb „odczyt znak po znaku”. Zarówno w VoiceOver, jak i w TalkBacku pionowy gest przesunięcia pozwala zmienić tryb nawigacji po tekście (słowo, znak, wiersz). Przełączenie się na tryb znakowy i przejrzenie linku przed kliknięciem zajmuje dwadzieścia sekund. To najbardziej opłacalny gest z całego tego artykułu.
Lekkie niedowidzenie: pułapka powiększenia
Osoby słabowidzące nie są w lepszej sytuacji, ale z odwrotnego powodu. Gdy czyta się przy powiększeniu 300%, widzi się naraz tylko fragment wiersza. Pole czytania zawęża się do kilku słów. Tymczasem wykrycie oszustwa opiera się w dużej mierze na widzeniu całości: alarmuje zestawienie nadawcy, tonu i linku, a nie każdy element z osobna.
Użytkownik korzystający z dużego powiększenia czyta więc SMS-a niczym przez tunel. Widzi „Assurance Maladie”, a trzy przesunięcia później link, którego już mentalnie nie łączy z kontekstem. Dodajmy do tego zmęczenie wzroku: po dwudziestu minutach przed ekranem czujność spada.
Kilka ustawień naprawdę pomaga:
- Włączenie wysokiego kontrastu i pogrubionego tekstu w ustawieniach dostępności zamiast wykręcania powiększenia na maksimum;
- Używanie przenośnej lupy elektronicznej do dokumentów papierowych otrzymywanych równolegle (pisma z urzędów, dane do przelewu): pozwala to nie mieszać kanałów i nie mylić prawdziwego listu z fałszywym SMS-em;
- Ustawienie lampki biurkowej o świetle zbliżonym do naturalnego przy fotelu, w którym sprawdza się telefon: złe oświetlenie podwaja czas czytania i rozprasza krytyczną uwagę;
- Unikanie czytania wrażliwych wiadomości w ruchu, na stojąco w autobusie. To właśnie wtedy dochodzi do błędnych kliknięć.
Niektóre osoby wolą zresztą rozdzielić zastosowania: smartfon do internetu i telefon komórkowy z dużymi klawiszami do codziennych rozmów. To nie regres, lecz świadome zmniejszenie powierzchni ataku — mniej aplikacji, mniej powiązanych kont, mniej klikalnych linków.
Prawdziwa tarcza: zasady dotyczące treści, a nie formy
Skoro sygnały formalne są niedostępne, czujność trzeba odbudować na tym, co pozostaje doskonale słyszalne: na treści wiadomości. Te zasady mają tę zaletę, że są uniwersalne i w niczym nie zależą od wzroku.
Żaden urząd, żaden bank, żaden operator nie prosi SMS-em o płatność, numer karty płatniczej, kod otrzymany SMS-em, hasło ani skan dokumentu tożsamości.
To zdanie powtarzają słowo w słowo Cybermalveillance.gouv.fr, DGCCRF i Banque de France. Wystarcza ono, by odsiać zdecydowaną większość kampanii smishingowych, bez konieczności analizowania choćby jednego piksela.
Trzy wyznaczniki treści warte zapamiętania, wszystkie doskonale słyszalne:
- Pilność wyrażona liczbą. „W ciągu 48 h”, „ostatnie przypomnienie”, „przed północą”. Francuski urząd nigdy nie narzuca tak krótkiego terminu wiadomością. Wysyła pismo.
- Drobna kwota. 1,79 €, 2,90 €, 0,99 €. Śmiesznie niska suma rozbraja nieufność; służy wyłącznie przechwyceniu numeru karty.
- Niespodziewany kanał. Niczego nie zamawiałeś, niczego nie zgłaszałeś, o nic nie prosiłeś. Wiadomość, która przychodzi bez wcześniejszego bodźca, jest z założenia podejrzana.
Zasada oddzwaniania: nigdy nie idź za wiadomością
Kluczowy odruch, dostępny dla wszystkich, mieści się w jednym zdaniu: nigdy nie korzystaj z kanału kontaktu podanego w samej wiadomości.
W praktyce: zamykamy SMS-a i kontaktujemy się z instytucją drogą, którą już znamy:
- Numer zapisany w kontaktach albo widniejący na odwrocie karty płatniczej;
- Oficjalna aplikacja zainstalowana w telefonie, otwarta ręcznie;
- Zakładka zapisana wcześniej w przeglądarce.
Właśnie tu liczy się przygotowanie. Zapisanie z wyprzedzeniem, czytelnie, numerów swojego banku, kasy chorych, operatora i urzędu miasta pozwala nie szukać ich w pośpiechu — a to właśnie wtedy się klika. Wielu użytkowników prowadzi równolegle notes dużą czcionką albo brajlowski, w którym znajdują się te referencyjne dane kontaktowe, poza telefonem. W razie wątpliwości czyta się notes, a nie wiadomość.
Dla osób zarządzających wieloma hasłami menedżer haseł zgodny z czytnikami ekranu daje nieoczekiwaną korzyść bezpieczeństwa: nie uzupełnia automatycznie danych logowania na oszukańczej stronie, bo domena się nie zgadza. Odmowa uzupełnienia staje się alertem odbieralnym bez udziału wzroku.
Zgłaszanie: numer 33700 jest dostępny
Krajowy system zgłaszania niechcianych SMS-ów działa w obie strony i nie wymaga skomplikowanych operacji wzrokowych.
- Przez przekazanie: przesłanie podejrzanego SMS-a pod numer 33700, bezpłatnie. Serwis odpowiada następnie wiadomością z prośbą o numer nadawcy, który trzeba z kolei odesłać.
- Przez stronę: platforma 33700 umożliwia zgłoszenie online, zgodne z czytnikami ekranu.
- W przypadku wyraźnych prób oszustwa: platforma Pharos (internet-signalement.gouv.fr) oraz serwis Cybermalveillance.gouv.fr, który kieruje do lokalnych usługodawców.
Jeśli doszło do pobrania pieniędzy, procedura jest taka sama jak dla wszystkich: natychmiastowe zastrzeżenie w banku, złożenie zawiadomienia i powołanie się na artykuły L133-18 i następne francuskiego kodeksu monetarnego i finansowego, które przewidują zwrot nieautoryzowanej transakcji.
Ważna uwaga dla bliskich i opiekunów: osoba z niepełnosprawnością wzroku, która padła ofiarą smishingu, nie była „nieostrożna”. Odwrotne rozumowanie jest częste i niesprawiedliwe. Została pozbawiona informacji, których interfejs jej nie przekazał. Odpowiedzialność leży po stronie projektowania, a nie użytkownika.
Co powinni poprawić sami dostawcy
Trzeba to powiedzieć wprost: większość pracy nie powinna spoczywać na potencjalnych ofiarach.
- Aplikacje do wiadomości mogłyby wyraźnie zapowiadać czytnikowi ekranu rzeczywistą domenę linku, jeszcze przed jego otwarciem, zamiast odczytywać surowy adres URL.
- Publiczne kampanie profilaktyczne zyskałyby na wersjach z audiodeskrypcją: większość materiałów uświadamiających rozpowszechnianych przez operatorów i banki to zrzuty ekranu… bez tekstu alternatywnego.
- Zweryfikowani nadawcy biznesowi w standardzie RCS, z tożsamością sprawdzoną z góry, to poważny kierunek: ustrukturyzowana informacja o autentyczności daje się, w przeciwieństwie do logo, odtworzyć przez czytnik ekranu.
Na razie czujność odbudowuje się na trzech prostych filarach: ustawić czytnik ekranu tak, by literował linki, oceniać wiadomość po treści, a nie po wyglądzie, i nigdy nie oddzwaniać kanałem, który sama proponuje. Trzy czynności, które nie wymagają wzroku — i które równie dobrze chronią tych, którzy go mają.
