CEO-fraude en factuurfraude herkennen: zo trapt je bedrijf er niet in
Bij CEO-fraude doet een crimineel zich per mail (of tegenwoordig zelfs per telefoon met AI-stem) voor als de directeur en vraagt om een spoedbetaling. Bij factuurfraude lijkt een echte factuur van een leverancier binnen te komen — maar met een gewijzigd rekeningnummer. De verdediging is verrassend simpel: verifieer elke betaalwijziging en spoedbetaling via een ander kanaal — bel de bekende persoon op het nummer dat je al had, nooit op het nummer uit de mail.
Zo werkt de oplichting
De aanvaller verdiept zich vooraf in je bedrijf: wie is de directeur, wie doet de betalingen, welke leveranciers zijn er (allemaal vindbaar via de website en LinkedIn). Dan volgt een geloofwaardige mail: het juiste taalgebruik, echte namen, soms vanaf een gehackt of nagemaakt mailadres dat één letter afwijkt. Kenmerken:
- Urgentie en vertrouwelijkheid: ‘moet vandaag’, ‘hou dit even tussen ons’, ‘ik zit in een bespreking en ben niet bereikbaar’.
- Afwijkend verzoek: een betaling buiten het normale proces, een nieuw rekeningnummer, vaak buitenlands.
- Net-niet-kloppend afzendadres: jan@bedrijf-nl.com in plaats van jan@bedrijf.nl — op een telefoon zie je vaak alleen de weergavenaam.
De vier afspraken die je bedrijf beschermen
- Verificatie via een tweede kanaal bij elke wijziging van rekeningnummer en elke afwijkende of spoedbetaling: bellen op het bekende nummer. Zonder uitzondering — óók als ‘de directeur’ het vraagt.
- Vier-ogenprincipe bij betalingen boven een afgesproken bedrag: één persoon zet klaar, een tweede keurt goed.
- Cultuur: spreek af dat níemand wordt afgerekend op het checken van een verzoek van de baas. Fraudeurs bespelen juist de aarzeling om ‘lastig te doen’.
- Meld en deel: één ontvangen fraudepoging betekent dat het hele team gewaarschuwd moet worden — de volgende mail gaat naar een collega.
Wat techniek eraan doet
Goede e-mailbeveiliging haalt veel weg vóór het je inbox bereikt: strenge DMARC-instellingen tegen vervalste afzenders, waarschuwingsbanners bij externe mail en bij afzenders die op collega’s lijken, en filtering die verdachte patronen herkent. Wij richten dat voor onze klanten standaard in — maar de telefonische check blijft de laatste, beslissende verdedigingslinie.
Toch overgemaakt?
Bel onmiddellijk je bank: bij snelle melding kan een overboeking soms nog gestopt of teruggehaald worden. Doe aangifte bij de politie en meld het bij de Fraudehelpdesk. En onderzoek hoe de fraudeur binnenkwam — zeker als de mail van een écht account van een collega of leverancier kwam, want dan is er ergens een mailbox gehackt.
Veelgestelde vragen
Wij zijn een klein bedrijf — zijn wij wel een doelwit?
Juist wel: fraudeurs weten dat kleine bedrijven zelden een vier-ogenprincipe hebben en betalingen door één persoon gedaan worden. De bedragen zijn lager, maar de slagingskans is hoger.
Hoe controleer ik een gewijzigd rekeningnummer van een leverancier?
Bel de leverancier op het telefoonnummer dat je al in je administratie had — niet het nummer in de mail of op de factuur. Veel banken tonen bovendien bij het overmaken of de naam bij het rekeningnummer past (IBAN-naam-check): neem afwijkingen serieus.
Is een telefoontje van de directeur wél te vertrouwen?
Wees ook daar alert: met AI zijn stemmen na te bootsen. Bij een ongebruikelijke betaalopdracht per telefoon geldt dezelfde regel — bel zelf terug op het bekende nummer. Een echte directeur waardeert die check.