Een mail van de zaakvoerder, midden in een drukke dag: “Kun jij snel deze overschrijving doen? Ik zit in een vergadering en het is dringend.” Of een factuur van een vaste leverancier die klopt tot in de details, behalve dat het rekeningnummer net iets anders is dan vorige keer. Dit zijn geen zeldzame oplichterstrucs uit een film. Het zijn twee van de meest voorkomende en duurste vormen van fraude waar Belgische KMO’s mee te maken krijgen: CEO-fraude en factuurfraude.
Het verraderlijke is dat er geen virus of hack aan te pas komt. De aanvaller hoeft je systemen niet binnen te dringen; hij moet gewoon één iemand overtuigen om een betaling te doen. En dat lukt vaker dan je denkt.
Wat is CEO-fraude?
Bij CEO-fraude doet een oplichter zich voor als iemand met gezag in je bedrijf, meestal de zaakvoerder of financieel directeur. Hij stuurt een bericht naar een medewerker die betalingen kan uitvoeren, vaak iemand van de boekhouding, met het verzoek om dringend een overschrijving te doen naar een nieuw rekeningnummer.
Het bericht is zorgvuldig opgebouwd om je gezond verstand te omzeilen. De klassieke ingrediënten:
- Autoriteit: het lijkt te komen van je baas, en je wil die niet laten wachten.
- Tijdsdruk: “het moet vandaag nog”, “voor de banken sluiten”, “anders lopen we de deal mis”.
- Discretie: “hou dit even tussen ons, ik leg het later uit”, zodat je het niet met collega’s bespreekt.
- Geloofwaardigheid: de oplichter heeft je bedrijf op voorhand bestudeerd via de website, LinkedIn en soms een eerder gehackte mailbox. Hij kent namen, functies en de juiste toon.
Vaak begint zo’n aanval met phishing, waarbij de aanvaller eerst toegang krijgt tot een echte mailbox. Van daaruit leest hij mee, leert het taalgebruik kennen en slaat op het perfecte moment toe, soms zelfs vanuit het echte e-mailadres van de zaakvoerder.
Wat is factuurfraude?
Bij factuurfraude misbruikt de oplichter een bestaande zakelijke relatie. Je krijgt een factuur die er volledig echt uitziet, juiste logo’s, juiste bedragen, juiste referenties, maar het rekeningnummer is dat van de fraudeur. Je betaalt netjes, alleen komt het geld op de verkeerde rekening terecht.
Dit gebeurt op verschillende manieren:
- Onderschepte facturen: de aanvaller heeft toegang tot de mailbox van jou of je leverancier en verandert het rekeningnummer op een echte, uitgaande factuur.
- Nagemaakte facturen: een compleet vervalste factuur van een bedrijf waarmee je regelmatig zaken doet.
- Vraag tot wijziging van rekeningnummer: een mail “van je leverancier” die meldt dat het bankrekeningnummer voortaan anders is. Alle volgende betalingen gaan dan naar de fraudeur.
Vooral die laatste is gevaarlijk, want één succesvolle wijziging kan maandenlang onopgemerkt geld wegsluizen.
Herkenbare voorbeelden
Voorbeeld 1, de dringende overschrijving. Sofie van de boekhouding krijgt op vrijdagnamiddag een mail van de “zaakvoerder”: een spoedbetaling van 24.000 euro voor een nieuwe leverancier, discreet te behandelen wegens een lopende overname. De toon klopt, de handtekening klopt. Alleen: de zaakvoerder is die dag onbereikbaar in een vergadering, precies zoals de mail beweert. Sofie twijfelt en belt hem toch even op zijn gsm. Hij weet van niets. Aanval mislukt.
Voorbeeld 2, het gewijzigde rekeningnummer. Een bouwbedrijf ontvangt een mail van een vaste onderaannemer: “We zijn van bank veranderd, gelieve voortaan naar dit nieuwe nummer te betalen.” De volgende factuur van 18.000 euro wordt netjes betaald. Twee weken later belt de échte onderaannemer waar zijn geld blijft. Het bleek een vervalste mail.
Beide scenario’s hebben één ding gemeen: ze zijn te stoppen met een eenvoudige controle die maar een paar minuten kost.
Zo verdedig je je bedrijf
De goede boodschap is dat je je hier heel effectief tegen kunt wapenen, en niet met dure technologie, maar met duidelijke afspraken die iedereen kent en volgt.
Dubbele verificatie via een tweede kanaal
De gouden regel: elke ongewone of dringende betaalopdracht wordt geverifieerd via een ander kanaal dan waarlangs de vraag binnenkwam. Kreeg je het verzoek per mail? Bel dan de persoon op een nummer dat je zelf al kende, niet het nummer uit de mail. Kreeg je een telefoontje? Bevestig het schriftelijk. Zo doorbreek je precies de truc waar de fraude op steunt.
Maak deze regel expliciet en laat hem voor iedereen gelden, óók voor de zaakvoerder. Zeg tegen je team: “Als je een dringende betaalvraag van mij krijgt, bel me altijd even. Ik zal daar nooit boos om zijn, integendeel.”
Een vast betaalproces
Leg vast hoe betalingen verlopen en wijk daar niet van af, hoe dringend iets ook lijkt. Bijvoorbeeld:
- Betalingen boven een bepaald bedrag vereisen twee handtekeningen (vierogenprincipe).
- Nieuwe leveranciers en nieuwe rekeningnummers worden altijd apart gecontroleerd voor de eerste betaling.
- Er is geen “uitzondering wegens spoed”, dringendheid is net het alarmsignaal.
Een vast proces neemt de druk weg bij de individuele medewerker. Die hoeft niet zelf te beslissen of iets verdacht is; hij volgt gewoon de procedure.
Wijzigingen van rekeningnummers altijd controleren
Krijg je een verzoek om een rekeningnummer te wijzigen? Behandel dat altijd als potentieel frauduleus tot je het bevestigd hebt. Bel je contactpersoon bij de leverancier op een bekend nummer en vraag om bevestiging. Doe dit ook bij bestaande leveranciers, juist die worden geviseerd.
Beveilig je mailboxen
Veel van deze fraude begint bij een gehackte mailbox. Zet daarom tweestapsverificatie (MFA) aan op alle zakelijke e-mailaccounts en gebruik sterke, unieke wachtwoorden. Zo maak je het aanvallers veel moeilijker om binnen te geraken en mee te lezen.
Train je team
Je medewerkers zijn je laatste en beste verdediging. Wie de trucs kent, trapt er niet in. Regelmatige, korte security-awarenesstraining met concrete voorbeelden zorgt dat de juiste reflex er is op het moment dat het telt.
Een platform als Phished traint medewerkers met realistische voorbeelden van onder meer CEO- en factuurfraude, zodat ze de signalen leren herkennen.
Wat te doen als het toch misgaat
Ben je toch slachtoffer geworden? Snelheid is cruciaal:
- Bel meteen je bank. Als de overschrijving nog niet verwerkt is, kan die soms nog geblokkeerd of teruggehaald worden.
- Doe aangifte bij de politie. Dat is nodig voor eventuele verzekering en het onderzoek.
- Meld het. Verdachte berichten kun je in België doorsturen naar Safeonweb (verdacht@safeonweb.be), zodat anderen gewaarschuwd worden.
- Controleer je systemen. Ga na of er een mailbox gecompromitteerd is en wijzig de betrokken wachtwoorden.
Conclusie
CEO-fraude en factuurfraude draaien niet om techniek, maar om vertrouwen en tijdsdruk. Precies daarom is de verdediging ook menselijk: heldere afspraken, een tweede paar ogen en de reflex om even te verifiëren. Die paar minuten controle zijn het goedkoopste verzekeringspolisje dat je bedrijf kan hebben.
Volgende stap: Doe de gratis cybersecurity-scan en krijg een persoonlijk actieplan voor jouw KMO, inclusief hoe stevig je betaalprocessen tegen fraude bestand zijn.