«Ваш счёт будет заблокирован. Подтвердите свои данные здесь: securite-clientweb-verif[.]info»
На экране такое сообщение быстро выдаёт себя. Глаз цепляется за странного отправителя, за бесконечное доменное имя, за точку не на месте, за неровные пробелы, за слегка размытый логотип. Меньше чем за две секунды опытный пользователь замечает три несоответствия, даже не проговаривая их про себя.
А теперь послушайте его. Скринридер произносит: «Ваш счёт будет заблокирован. Подтвердите свои данные здесь, двоеточие, эйч-ти-ти-пи-эс двоеточие слэш слэш securite тире clientweb тире verif точка info». Темп ровный, нейтральный, без иерархии. Ни одного визуального признака больше не существует. Остаётся только фраза, а фразу оценивают по содержанию — именно над ним мошенник и поработал.
Это почти никогда не обсуждаемая «слепая зона» профилактических кампаний: практически все советы против смишинга опираются на визуальные признаки. Для слепых, слабовидящих людей или просто для тех, кто пользуется телефоном с очень крупным шрифтом и уставшими глазами, эти советы попросту не работают.
Аудитория шире, чем принято думать
По данным Fédération des Aveugles et Amblyopes de France и исследований DREES об инвалидности, около 1,7 миллиона человек во Франции заявляют о нарушениях зрения, из них почти 200 000 — слепые или люди с глубокой слабовидимостью. К этому добавляется гораздо более широкая группа: люди старше 70 лет с возрастной макулярной дегенерацией (ВМД), катарактой или глаукомой, которые не обязательно пользуются техническими средствами, но читают с телефона с трудом — на вытянутой руке, под лампой.
Эти пользователи вовсе не отрезаны от цифрового мира. С появлением VoiceOver на iPhone и TalkBack на Android смартфон стал важнейшим инструментом самостоятельности: прочитать SMS, вызвать такси, распознать банкноту, получить описание фотографии. INSEE отмечает, что уровень обеспеченности мобильными телефонами среди людей с инвалидностью сравнялся с показателем населения в целом.
Логичное следствие: они получают ровно тот же объём мошеннических SMS, что и все остальные. Мошенники покупают базы номеров; они не знают — и не пытаются узнать, — кто стоит за ними. Никакого прицельного отбора здесь нет. Меняется лишь процент успеха.
Что стирает синтезированный голос
Чтобы понять проблему, нужно разобрать, что именно теряет слуховой канал по сравнению со зрительным.
| Классический признак тревоги | Восприятие глазом | Восприятие через скринридер |
|---|---|---|
Обманчивое доменное имя (impots-gouv[.]services) | Мгновенно, структура бросается в глаза | Читается как череда слогов, без иерархии |
| Плохо подделанные шрифт или логотип | Мгновенно | Отсутствует |
| Орфографические ошибки | Мгновенно | Часто сглаживаются произношением |
| Отправитель с длинным номером (+33 6…) | Видно с первого взгляда | Читается, но тонет в потоке |
| Сокращённая ссылка (bit.ly…) | Мгновенное подозрение | На слух не значит ничего |
| Вёрстка заглавными буквами и срочность | Визуально агрессивна | Нейтрализуется плоской интонацией |
Самое серьёзное касается URL-адресов. Мозг читает веб-адрес справа налево: сначала мы ищем основной домен непосредственно перед первым слэшем. Это пространственный рефлекс. На слух эта структура исчезает: secure.ameli.fr и ameli.secure-verif.fr дают почти идентичный звуковой поток для неподготовленного уха, хотя второй не имеет никакого отношения к Assurance Maladie.
Вторая проблема — омоглифы. Мошенники заменяют «l» на заглавную «I», «o» на ноль или используют визуально идентичные кириллические буквы. Визуально это иногда можно заметить. На слух — совершенно невидимо: синтезатор произносит ожидаемое слово.
Третья проблема — ошибки. Фраза с грубым согласованием вроде «ваш счёт был заблокированы» бросается в глаза. Прочитанная синтезированным голосом, ошибка испаряется полностью.
Подробность озвучивания: настройка, которая меняет всё
При этом существует очень действенная и на удивление малоизвестная контрмера: повысить уровень подробности озвучивания у скринридера.
По умолчанию VoiceOver и TalkBack настроены на плавность чтения. Их можно настроить так, чтобы они сообщали гораздо больше:
- Читать ссылки посимвольно, а не произносить их как слова. Это медленнее, но мошеннический домен становится слышимым;
- Озвучивать знаки препинания («точка», «тире», «слэш») систематически, установив уровень пунктуации на «Все»;
- Сообщать о заглавных буквах — это выдаёт «I», подставленные вместо «l»;
- Объявлять нестандартные символы или смену языка — это выдаёт использование смешанных алфавитов.
На iPhone эти настройки находятся в Настройки → Универсальный доступ → VoiceOver → Детализация. На Android — в Настройки → Специальные возможности → TalkBack → Настройки детализации. Практический совет: не оставаться в максимальном режиме постоянно — это утомительно, — но уметь переключаться на него, как только в сообщении появляется ссылка или запрос информации.
Многие пользователи, кстати, работают с наушниками с костной проводимостью, чтобы слушать скринридер, не отрезая себя от окружающих звуков; это хороший помощник, когда нужно спокойно, не спеша прочитать адрес по буквам прямо на улице, не оглашая его содержимое всей округе.
Приём, который делает SMS читаемым: брайль
Для тех, кто оснащён соответствующей техникой, брайлевский дисплей полностью меняет ситуацию. Там, где синтез речи всё «выпрямляет», брайль передаёт цепочку символов как есть: каждая точка, каждое тире, каждая заглавная буква физически присутствует под пальцем. Мошеннический URL снова становится доступным для анализа — ровно как для зрячего глаза.
Проблема экономическая. Обновляемый брайлевский дисплей стоит несколько тысяч евро, даже если Prestation de Compensation du Handicap (PCH) может частично профинансировать покупку через MDPH. У многих пользователей его нет.
Промежуточное решение, бесплатное: режим «посимвольного чтения». И в VoiceOver, и в TalkBack вертикальный свайп позволяет менять режим навигации по тексту (слово, символ, строка). Переключиться в посимвольный режим и пройти по ссылке перед нажатием занимает двадцать секунд. Это самый выгодный приём во всей статье.
Лёгкая слабовидимость: ловушка увеличения
Людям со слабым зрением не легче — но по противоположной причине. Когда читаешь с увеличением 300 %, видишь лишь фрагмент строки за раз. Поле чтения сужается до нескольких слов. А ведь распознавание мошенничества во многом опирается на общий взгляд: тревогу вызывает сочетание отправителя, тона и ссылки, а не каждый элемент по отдельности.
Пользователь с сильным увеличением читает своё SMS «в туннеле». Он видит «Assurance Maladie», а затем, через три прокрутки, ссылку, которую уже мысленно не связывает с контекстом. Добавим зрительное утомление: после двадцати минут перед экраном бдительность падает.
Несколько корректировок реально помогают:
- Включить высокую контрастность и жирный шрифт в настройках доступности вместо того, чтобы выкручивать увеличение на максимум;
- Использовать портативную электронную лупу для бумажных документов, приходящих параллельно (письма от организаций, банковские реквизиты): это позволяет не смешивать каналы и не путать настоящее письмо с фальшивым SMS;
- Поставить настольную лампу с естественным светом рядом с креслом, где вы просматриваете телефон: плохое освещение удваивает время чтения и рассеивает критическое внимание;
- Не читать важные сообщения на ходу, стоя в автобусе. Именно там происходят ошибочные нажатия.
Некоторые люди, кстати, предпочитают разделять сценарии использования: смартфон для интернета и мобильный телефон с большими кнопками для повседневных звонков. Это не откат назад, а осознанное сокращение поверхности атаки — меньше приложений, меньше связанных аккаунтов, меньше кликабельных ссылок.
Настоящая защита: правила о содержании, а не о форме
Раз признаки формы недоступны, бдительность нужно перестроить на том, что остаётся прекрасно слышимым: на содержании сообщения. Эти правила универсальны и ничем не обязаны зрению.
Ни одно ведомство, ни один банк, ни один оператор не запрашивает по SMS платёж, номер банковской карты, полученный по SMS код, пароль или копию удостоверения личности.
Эта фраза дословно повторяется на Cybermalveillance.gouv.fr, у DGCCRF и в Banque de France. Её достаточно, чтобы отсеять подавляющее большинство смишинговых кампаний, не изучая ни единого пикселя.
Три содержательных маркера, которые стоит запомнить и которые прекрасно воспринимаются на слух:
- Срочность с цифрами. «В течение 48 часов», «последнее напоминание», «до полуночи». Французское ведомство никогда не устанавливает столь короткий срок в сообщении. Оно пишет письмо.
- Маленькая сумма. 1,79 €, 2,90 €, 0,99 €. Смехотворная сумма обезоруживает недоверие; она нужна лишь для того, чтобы заполучить номер карты.
- Неожиданный канал. Вы ничего не заказывали, ничего не декларировали, ничего не запрашивали. Сообщение, пришедшее без предварительного повода, подозрительно по определению.
Правило обратного звонка: никогда не идти по указанному пути
Ключевой рефлекс, доступный каждому, укладывается в одну фразу: никогда не использовать канал связи, предложенный самим сообщением.
На практике: закрываем SMS и связываемся с организацией по пути, который вы уже контролируете:
- Номер, сохранённый в контактах или указанный на обратной стороне банковской карты;
- Официальное приложение, установленное на телефоне и открытое вручную;
- Закладка, заранее сохранённая в браузере.
Именно здесь важна подготовка. Заранее и разборчиво записать номера своего банка, своей кассы медицинского страхования, оператора и мэрии — значит избавить себя от необходимости искать их в спешке, а именно в этот момент люди и кликают. Многие пользователи параллельно ведут записную книжку крупным шрифтом или брайлем с этими справочными контактами — вне телефона. В случае сомнений читаем книжку, а не сообщение.
Тем, кто управляет множеством паролей, менеджер паролей, совместимый со скринридерами, приносит неожиданную выгоду для безопасности: он не подставляет автоматически учётные данные на мошенническом сайте, поскольку домен не совпадает. Отказ автозаполнения становится сигналом тревоги, ощутимым без зрения.
Сообщить о мошенничестве: 33700 доступен всем
Национальная система сообщений о нежелательных SMS работает в обе стороны и не требует сложных визуальных действий.
- Пересылкой: переслать подозрительное SMS на номер 33700, бесплатно. Затем сервис отвечает сообщением с просьбой указать номер отправителя, который нужно отправить в ответ.
- Через сайт: платформа 33700 позволяет подать сообщение онлайн, и она совместима со скринридерами.
- Для явных попыток мошенничества: платформа Pharos (internet-signalement.gouv.fr) и сайт Cybermalveillance.gouv.fr, который направляет к специалистам поблизости.
Если деньги были списаны, порядок действий тот же, что и для всех: немедленная блокировка через банк, подача заявления в полицию и ссылка на статьи L133-18 и последующие Валютно-финансового кодекса, предусматривающие возмещение неавторизованной операции.
Важный момент для близких и помощников: человек с нарушением зрения, ставший жертвой смишинга, не проявил «небрежность». Обратное рассуждение встречается часто и несправедливо. Он был лишён информации, которую интерфейс ему не передал. Ответственность лежит на стороне разработки, а не пользователя.
Что следовало бы улучшить участникам рынка
Скажем прямо: основная работа не должна ложиться на потенциальных жертв.
- Мессенджеры могли бы явно озвучивать скринридеру реальный домен ссылки ещё до её открытия, вместо чтения сырого URL.
- Государственным профилактическим кампаниям стоило бы выпускать аудиодескриптивные версии: большинство просветительских материалов, распространяемых операторами и банками, — это скриншоты… без альтернативного текста.
- Проверенные профессиональные отправители стандарта RCS, с заранее подтверждённой личностью, — серьёзное направление: структурированная информация о подлинности, в отличие от логотипа, может быть передана скринридером.
А пока бдительность выстраивается на трёх простых опорах: настроить скринридер так, чтобы он читал ссылки по буквам; судить о сообщении по содержанию, а не по внешнему виду; и никогда не перезванивать по предложенному каналу. Три действия, не требующие зрения, — и точно так же защищающие тех, у кого оно есть.
