De kleine vraag is soms de grote deur
Waarom deze module niet alleen over betalingen gaat
Een aanvaller kijkt niet alleen naar geld. Hij kijkt vooral naar wat hij daarna kan doen: lezen, resetten, sturen, meekijken of later terugkomen. Dat heet capability: de speelruimte die één kleine stap opent.
Niet alleen naar het formulier kijken
De kernvraag is niet alleen wat u ziet, maar wat de stap daarna vrijmaakt.
Scène
Niet alleen naar het formulier kijken
De kernvraag is niet alleen wat u ziet, maar wat de stap daarna vrijmaakt.
Stel: u krijgt drie vragen op één avond. Een pakjesbericht vraagt 1 euro. Een formulier wil uw mailbox koppelen. Een document vraagt een viewer te installeren. Drie keer voelt het als ‘even dit’. Toch opent niet elke stap dezelfde deur. U ziet een scherm met een klein bedrag. Uw hoofd doet meteen boekhouding: 0,99 euro, 1,99 euro, kleine moeite. Dat is precies waarom zulke schermen werken. Ze laten de vraag kleiner lijken dan de deur erachter.
Eerst de scène
U ziet een scherm met een klein bedrag. Uw hoofd doet meteen boekhouding: 0,99 euro, 1,99 euro, kleine moeite. Dat is precies waarom zulke schermen werken. Ze laten de vraag kleiner lijken dan de deur erachter.
Maar naast een bedrag kan er nog iets verschijnen: een login, een code, een knop om uw mailbox te koppelen of een viewer die zogezegd nodig is. Dan is de vraag niet meer alleen: wat kost dit? Dan wordt de vraag: welke toegang geef ik?
Een aanvaller kijkt als een verhuizer met slechte bedoelingen. Niet: welke doos is het zwaarst? Wel: welke deur geeft toegang tot de meeste kamers?
Wat probeert iemand te bereiken?
Soms is geld de hoofdprijs. Soms is geld alleen het lokmiddel. Een mailbox kan resetmails bevatten, facturen, schoolberichten, namen van familieleden en lopende gesprekken. Daarmee kan iemand later berichten sturen die veel geloofwaardiger klinken dan een willekeurige spam-mail.
Ook een app-toestemming kan waardevol zijn. Een app die uw mail mag lezen of verzenden, krijgt geen ‘klein vinkje’. Ze krijgt een taak in uw naam. Dat is handig bij een echte app en gevaarlijk bij een valse of misbruikte app.
Belangrijkste inzichten
3Eerst de scène
U ziet een scherm met een klein bedrag. Uw hoofd doet meteen boekhouding: 0,99 euro, 1,99 euro, kleine moeite. Dat is precies waarom zulke schermen werken. Ze laten de vraag kleiner lijken dan de deur erachter.
Wat probeert iemand te bereiken?
Soms is geld de hoofdprijs. Soms is geld alleen het lokmiddel. Een mailbox kan resetmails bevatten, facturen, schoolberichten, namen van familieleden en lopende gesprekken. Daarmee kan iemand later berichten sturen die veel geloofwaardiger klinken dan een willekeurige spam-mail.
Moeilijke woorden zonder mist
Capability betekent: wat kan iemand nu doen? Kan hij lezen, sturen, wijzigen, meekijken of later opnieuw binnen? Het woord klinkt militair, maar de gedachte is huiselijk: welke sleutel heeft iemand net gekregen?
Reflex
Kijk naar wat de stap mogelijk maakt
Vraag hardop: wat kan iemand hierna dat hij daarvoor niet kon?