Phishing werkt omdat het banksysteem faalt, niet omdat de klanten dom zijn

Gepubliceerd als Opiniestuk in Destandaard, 29 mei

Phishing wordt vaak voorgesteld als een verhaal over individuele naïviteit. Iemand klikt op een verkeerde link, vertrouwt een overtuigend bericht, een overtuigend bericht, reageert op een onheilspellend telefoontje, geeft een code door en verliest geld. Daarna volgt bijna automatisch dezelfde reactie: men had beter moeten opletten. Het slachtoffer wordt subtiel verplaatst van slachtoffer naar medeverantwoordelijke. Dat lijkt logisch zolang we phishing bekijken als een reeks geïsoleerde menselijke fouten. Maar misschien kijken we naar het verkeerde niveau. Misschien is phishing minder een probleem van individuele onoplettendheid dan van een systeem dat zijn eigen kwetsbaarheden afwentelt op de gebruiker.

De klassieke waarschuwingen kennen we allemaal: controleer het webadres, klik niet zomaar op links, vertrouw geen sms-berichten, ga niet in op verontrustende telefoontjes, wees alert. Dat klinkt redelijk. Alleen wordt zelden de omgekeerde vraag gesteld: waarom wordt van gewone burgers verwacht dat zij voortdurend functioneren als beveiligingsexperts? Een moderne bankomgeving is geen eenvoudige kluis met een sleutel meer. Het is een technisch ecosysteem van apps, identificatieprocedures, digitale handtekeningen, QR-codes, tweestapsverificatie en voortdurend veranderende veiligheidsprotocollen. De gemiddelde gebruiker begrijpt dat systeem niet echt. En dat hoeft ook niet. We verwachten evenmin dat automobilisten een verbrandingsmotor volledig kunnen ontleden vooraleer ze de weg op mogen.

Toch gebeurt bij phishing precies dat. De gebruiker wordt behandeld als de laatste en belangrijkste beveiligingslaag. Wanneer alles goed gaat, benadrukken banken hun betrouwbaarheid, veiligheid en technologische verfijning. Maar wanneer iets misloopt, verschuift de verantwoordelijkheid opvallend snel richting individu. Dan blijkt veiligheid plots een persoonlijke opdracht te zijn geworden.

Dat is vreemd. Want phishing werkt niet doordat mensen uitzonderlijk dom zijn. Het werkt omdat mensen uitzonderlijk menselijk zijn. Criminelen spelen niet in op een gebrek aan intelligentie, maar op eigenschappen die iedereen bezit: vertrouwen, tijdsdruk, stress, angst en verwarring. Een bericht dat meldt dat je rekening wordt geblokkeerd, dat een betaling dringend bevestigd moet worden of dat er verdachte activiteit is vastgesteld, activeert precies die mechanismen waarop mensen voorspelbaar reageren.

Dat weten banken ook. Ze weten dit al jaren. Ze beschikken over uitgebreide kennis over gedragspsychologie, gebruikerspatronen en risicoanalyse. Ze investeren miljoenen in beveiliging en dataverwerking. Als men weet dat mensen systematisch vatbaar zijn voor bepaalde vormen van misleiding, dan wordt het moeilijk om te blijven spreken over een louter persoonlijk falen. Een goed systeem vertrekt niet vanuit een ideaal rationeel mensbeeld. Het vertrekt vanuit de mens zoals hij werkelijk is.

Misschien wordt die spanning nergens zichtbaarder dan in een ervaring die veel mensen herkennen: hoe moeilijk het soms is om aan je eigen geld te geraken. Banken bouwen allerlei beschermingsmechanismen in. Er zijn limieten op geldafhalingen. Voor grotere overschrijvingen volgen bijkomende controles. Kaarten worden geblokkeerd bij ongebruikelijk gebruik. Soms moet men verschillende stappen doorlopen om een volkomen legitieme handeling uit te voeren.

Die controles worden verdedigd als noodzakelijke veiligheid. En vaak zijn ze dat ook. Maar dan ontstaat een pijnlijke vraag wanneer iemand in enkele minuten 25.000 euro verliest aan fraudeurs: waar was die veiligheid op dat moment?

Want banken beschikken vandaag over een enorme hoeveelheid gegevens. Ze kennen betaalpatronen, locaties, tijdstippen, apparaten en rekeninggeschiedenis. Ze weten doorgaans hoe iemand zich financieel gedraagt. In andere situaties wordt afwijkend gedrag vaak wel onmiddellijk gedetecteerd. Een ongebruikelijke betaling in een ander land kan al leiden tot een blokkering van een kredietkaart. Waarom lijkt een plotselinge, grote geldstroom naar onbekende bestemmingen dan soms niet dezelfde alarmbellen te doen afgaan?

Het ongemakkelijke antwoord zou kunnen zijn dat het systeem niet in de eerste plaats rond veiligheid is gebouwd, maar rond snelheid en efficiëntie. Jarenlang hebben banken ingezet op onmiddellijke betalingen, maximale digitalisering en zo weinig mogelijk frictie. Dat is begrijpelijk. Snelle transacties zijn handig. Digitale processen zijn goedkoper. Minder menselijke tussenkomst verhoogt de efficiëntie.

Maar snelheid heeft een prijs. Geld dat vroeger nog kon worden tegengehouden, is vandaag soms binnen enkele seconden verdwenen. En wanneer het weg is, blijkt het vaak bijna onmogelijk om het terug te halen.

Dat betekent niet dat banken alle verantwoordelijkheid dragen. Ook gebruikers hebben een rol. Absolute bescherming bestaat niet. Een systeem waarbij banken altijd alle schade vergoeden, ongeacht de omstandigheden, creëert andere problemen. Dan verdwijnt mogelijk elke prikkel tot voorzichtigheid en ontstaan nieuwe vormen van misbruik.

Maar tussen die uitersten ligt een bredere vraag. Niet: heeft iemand een fout gemaakt? Mensen maken voortdurend fouten. De werkelijke vraag luidt: waarom werd één menselijke fout voldoende om een financiële ramp te veroorzaken?

Daarin schuilt misschien het fundamentele probleem van phishing. Het is geen technisch defect aan de rand van het systeem. Het legt een diepere spanning bloot. Onze samenleving digitaliseert steeds verder, maar de verantwoordelijkheid voor de risico's lijkt vaak neer te dalen naar het individu. De complexiteit van het systeem stijgt, terwijl de gebruiker geacht wordt die complexiteit zelf op te vangen.

Misschien moeten we phishing daarom minder zien als een verzameling individuele vergissingen en meer als een spiegel. Niet van menselijke domheid, maar van een systeem dat tegelijk maximale snelheid, minimale frictie en volledige veiligheid belooft — en die drie beloften niet altijd met elkaar kan verzoenen.

Want wanneer gewone klanten steeds meer obstakels ondervinden om aan hun eigen geld te geraken, terwijl fraudeurs er soms in slagen het in enkele minuten te laten verdwijnen, dan dringt een ongemakkelijke gedachte zich op: misschien zit het probleem niet alleen bij de mensen die in de val lopen, maar ook bij de manier waarop de val en het systeem daaromheen ontworpen zijn.