CEO-fraude en factuurfraude: zo herkent u een valse factuur

Kort: Bij CEO-fraude doet een oplichter zich voor als de zaakvoerder, bij factuurfraude als een leverancier met een “nieuw” rekeningnummer. Het doel is telkens dat iemand zelf geld overschrijft. De beste bescherming is één vaste regel: elke wijziging van een rekeningnummer en elke dringende betaling eerst telefonisch bevestigen, op een nummer dat u al kende.

“Kan je vandaag nog een betaling doen? Het is dringend en vertrouwelijk, ik leg het later uit.” De mail komt van de zaakvoerder, of lijkt toch zo. Een uur later is er tienduizenden euro’s verdwenen naar een rekening in het buitenland.

CEO-fraude en factuurfraude zijn geen technische hacks. Er wordt niets gekraakt en er komt geen virus aan te pas. De aanvaller overtuigt gewoon iemand om zelf geld over te schrijven. Daarom houdt geen firewall het tegen, maar een goede afspraak wel.

Hoe werkt CEO-fraude?

De oplichter doet zich voor als iemand met gezag: de zaakvoerder, een directielid, soms een advocaat of een “externe auditor”. Het patroon is bijna altijd hetzelfde:

• Haast: het moet vandaag, liefst binnen het uur.
• Geheimhouding: “praat er nog met niemand over, het gaat om een overname”.
• Een uitzondering op de regels: “doe het deze keer even zonder de gewone goedkeuring”.
• Timing: vaak wanneer de echte zaakvoerder op reis is of op vakantie. Die informatie halen oplichters van LinkedIn, sociale media of een automatisch afwezigheidsbericht.

Hoe werkt factuurfraude?

Bij factuurfraude doet de oplichter zich voor als een leverancier die u kent. U krijgt een mail dat het rekeningnummer veranderd is, of een factuur die er perfect uitziet, maar met een ander rekeningnummer.

Wat dit zo verraderlijk maakt: de mail komt soms écht van het adres van uw leverancier. Het account van die leverancier is dan overgenomen, en de oplichter heeft weken meegelezen. Hij kent de lopende bestellingen, de bedragen en de toon van de gesprekken.

Zo herkent u een valse betaalvraag

• Een nieuw of gewijzigd rekeningnummer, zeker een buitenlands.
• Druk om snel te betalen, of een dreigement (“anders stopt de levering”).
• De vraag om de gewone procedure over te slaan, of om het geheim te houden.
• Een afzender die net iets anders is: een letter verschil in de domeinnaam, of een “antwoorden aan”-adres dat elders naartoe gaat.
• Een toon of woordkeuze die net niet klopt. Al wordt dat signaal zwakker: oplichters schrijven hun mails vandaag met AI, in vlot Nederlands.

Eén afspraak die het stopt

De beste bescherming is een vaste regel die voor iedereen geldt, ook voor de zaakvoerder zelf:

Elke wijziging van een rekeningnummer en elke dringende of ongewone betaling wordt telefonisch bevestigd, op een nummer dat u al kende.

Dus niet het nummer uit de mail, niet het nummer uit de handtekening van die mail, maar het nummer uit uw eigen contactenlijst of van een vorige factuur. Twee minuten bellen, en de fraude valt door de mand.

Een paar aanvullingen die helpen:

• Vier ogen voor betalingen boven een bepaald bedrag: één persoon bereidt voor, een tweede keurt goed.
• Zeg het hardop: laat de zaakvoerder zelf aan het team vertellen dat hij nooit zal vragen om de regels over te slaan. Dan durft niemand te twijfelen om terug te bellen.
• Tweestapsverificatie op e-mail, zodat een overgenomen account minder waarschijnlijk is. Lees waarom dat alleen niet volstaat.

Toch betaald? Elke minuut telt

Bel onmiddellijk uw bank en vraag om de betaling terug te halen. Hoe sneller, hoe groter de kans dat het geld nog niet verder is doorgesluisd. Doe daarna aangifte bij de politie en verwittig de leverancier of persoon in wiens naam de fraude gebeurde. Hun account is waarschijnlijk overgenomen.

Train het, niet alleen de regel

Een afspraak werkt pas als iedereen ze kent en toepast onder druk. In een security awareness training oefenen we precies deze situaties met uw team, met voorbeelden uit de Belgische praktijk. En met een phishing simulatie test u of de regel ook standhoudt als de mail er echt uitziet.

Benieuwd of uw team dit zou herkennen? Plan een vrijblijvend gesprek.