Smishing: waarom we op mobiel sneller klikken

Het kleine scherm verbergt precies wat je nodig hebt

Op een laptop heb je context. Je ziet het volledige e-mailadres van de afzender, je kunt met je muis over een link zweven en de echte bestemming bekijken, je ziet de hele adresbalk. Op een telefoon valt vrijwel al die context weg. Een sms toont een naam of een nummer — beide eenvoudig te vervalsen of nietszeggend. Links zijn vaak afgekort tot een handvol onleesbare tekens, en zelfs als je een volledig adres zou zien, toont de mobiele browser na het klikken vaak maar een stukje ervan.

Je verdediging op de laptop bestaat dus grotendeels uit informatie die op je telefoon simpelweg niet in beeld is. Wie zijn beoordelingsvermogen heeft getraind op de desktop, neemt dat vermogen niet automatisch mee naar zijn broekzak. Het gereedschap ligt daar gewoon niet.

Onderweg-modus: je brein staat op snel

Belangrijker nog dan het scherm is de stand waarin je verkeert. Je telefoon pak je tussendoor: in de rij, op het perron, tijdens een vergadering onder tafel, met één oog op de pasta. Dat zijn momenten van snelle, oppervlakkige verwerking — afhandelen en door. Lezen wordt scannen, beoordelen wordt herkennen-op-vorm: dit lijkt op een bezorgbericht, dus het zal een bezorgbericht zijn.

Tel daar de notificatie-reflex bij op. Een sms kondigt zich aan met een trilling en een geluidje, en dat voelt — anders dan de stille stapel mail — als iets dat nú aandacht vraagt. Oplichters versterken dat met inhoud die toch al haast suggereert: een pakket dat anders retour gaat, een betaling die vandaag moet, een “zoon of dochter” met een kapotte telefoon die snel hulp nodig heeft. De vorm (notificatie) en de inhoud (urgentie) duwen dezelfde kant op: nu reageren, niet nadenken.

Het is geen kennisprobleem, het is een standenprobleem

De klassieke reactie op fraude via sms is meer voorlichting: leer mensen de signalen herkennen. Daar geloof ik maar half in, en wel hierom: vrijwel iedereen die op een nep-sms klikt, kende de signalen al. Het probleem is niet dat je niet weet waar je op moet letten — het is dat je op het moment zelf in een stand staat waarin je überhaupt niet aan het letten bent. Kennis zit in je trage, bedachtzame systeem; klikken doe je met je snelle.

Dat verklaart ook waarom sms voor oplichters zo’n aantrekkelijk kanaal is binnen het bredere palet aan soorten phishing: de mail-variant moet langs spamfilters én langs jouw geoefende desktop-blik, terwijl de sms-variant landt op een apparaat zonder vangrails bij een lezer zonder leesbril. Wil je een sms-er verslaan, dan moet je dus niet je kennis trainen maar je gewoonte. Een gewoonte werkt namelijk wél in de snelle stand — daar is hij zelfs voor gemaakt.

De ene gewoonte: nooit vanuit het bericht

1. Maak de regel absoluut. Je handelt nooit vanuit een sms, ook niet als hij echt lijkt, ook niet als hij echt ís. Geen uitzonderingen, want uitzonderingen vragen een beoordeling en die beoordeling is precies wat onderweg niet lukt.
2. Open zelf de bijbehorende app of site. Bericht over een pakket? Open de app van de bezorgdienst of de track-en-trace uit je oorspronkelijke bestelbevestiging. Bericht over je bank? Open je bankapp. Is er echt iets, dan zie je het daar.
3. Parkeer wat niet kan wachten tot het wél kan wachten. Geen app bij de hand of geen tijd om het uit te zoeken? Laat het bericht staan en pak het thuis op. Vrijwel niets in een sms is werkelijk zo dringend als het zich voordoet — en wat écht dringend is, bereikt je heus nog een tweede keer via een ander kanaal.
4. Beantwoord “hoi mam”-achtige berichten via het oude nummer. Claimt een bekende een nieuw nummer te hebben? Bel het oude nummer of stel een vraag die alleen de echte persoon kan beantwoorden, vóór er over geld gesproken wordt.

Wat je morgen anders doet

Eén ding maar: vanaf morgen is je duim niet meer de rechter. Elk bericht dat om actie vraagt, krijgt dezelfde behandeling — bericht dicht, eigen app open. Je hoeft nooit meer te beslissen of iets echt is, en dat is precies de winst: de beslissing die je op mobiel toch al niet goed kon nemen, hoef je niet meer te nemen. Wil je weten hoe je er nu voorstaat? De human firewall test laat zien hoe jouw reflexen scoren als de druk erop staat.