CEO-fraude: zo werkt het en zo stop je het

Vrijdagmiddag, kwart voor vijf. De boekhouder krijgt een WhatsApp-bericht van een onbekend nummer, met de profielfoto van de directeur: “Hoi, dit is mijn nieuwe nummer. Ben je nog op kantoor? Ik heb je hulp nodig bij een spoedbetaling, vertrouwelijk, ik leg het maandag uit.” Een paar berichten later staat er een rekeningnummer en een bedrag.

Dit is CEO-fraude. Het is geen technisch hoogstandje, het is ouderwetse oplichting via een nieuw kanaal. En het werkt verrassend vaak, ook bij kleine bedrijven.

Hoe het werkt

Oplichters gebruiken drie hefbomen:

1. Gezag. Het verzoek komt van de directeur, een eigenaar of een belangrijke klant. Daar zeg je niet snel nee tegen.
2. Haast. Het moet nu, voor het weekend, voor de deadline, voor de deal niet doorgaat.
3. Geheimhouding. “Vertrouwelijk”, “bespreek het nog niet met anderen”. Precies zodat je niemand om raad vraagt.

De informatie die ze nodig hebben, halen ze vaak gewoon online: de naam van de directeur van je website of LinkedIn, een foto, de naam van de boekhouder, soms een vakantie die iemand op social media deelt.

De vormen die het meest voorkomen

• WhatsApp met “nieuw nummer”: de directeur zou een nieuwe telefoon hebben en vraagt om snelle hulp.
• Een mail van een net afwijkend adres, bijvoorbeeld de naam van de directeur met een gratis mailadres, of een domein met één letter verschil.
• Een mail vanuit een echt overgenomen mailbox. Dan klopt het afzenderadres wél. Aanvallers lezen soms weken mee om het juiste moment en de juiste toon te vinden. Zie iemand mailt uit jouw naam.
• Factuurfraude: een “leverancier” meldt een nieuw rekeningnummer, net voordat een grote factuur betaald moet worden.
• Een telefoontje, soms met een stem die met AI is nagemaakt. Nog zeldzaam, maar het bestaat.
• Een QR-code in een mail of op een factuur die naar een nagemaakte betaal- of inlogpagina leidt. Zie quishing: phishing via een QR-code.

De afspraak die het stopt

Techniek helpt, maar de sterkste bescherming is een simpele afspraak die iedereen in je bedrijf kent en die de directeur zelf ook naleeft:

1. Een betaling buiten de normale route wordt altijd gecontroleerd via een tweede kanaal. Komt het verzoek via WhatsApp of mail, dan bel je terug op het nummer dat je al had, niet op het nummer in het bericht.
2. Een nieuw rekeningnummer van een leverancier wordt altijd telefonisch gecontroleerd, op een bekend nummer.
3. Grotere betalingen gaan langs twee personen.
4. Niemand wordt ooit afgerekend op het controleren. Dat laatste is misschien het belangrijkste: een medewerker moet zich veilig voelen om de directeur te bellen en te zeggen “ik wil even checken of dit echt van jou komt”.

Zeg het als directeur hardop tegen je team: “Als ik ooit met spoed een betaling vraag via een ander kanaal, bel me dan eerst. Ik neem je dat nooit kwalijk.”

Wat helpt aan de technische kant

• Tweestapsverificatie op alle mailboxen, zodat een gestolen wachtwoord niet genoeg is om een mailbox over te nemen. Zie MFA en Conditional Access voor het mkb.
• SPF, DKIM en DMARC op je domein, zodat oplichters niet makkelijk mailen vanaf jouw adres. Zie SPF, DKIM en DMARC in gewone taal.
• Een waarschuwing bij externe mail, zodat een bericht van “de directeur” dat van buiten komt, opvalt.
• Minder informatie online over wie de betalingen doet en wanneer de directeur op vakantie is.

Is het toch gebeurd?

1. Bel direct je bank. Een betaling kan soms nog worden tegengehouden, maar alleen als je snel bent.
2. Doe aangifte bij de politie en meld het bij de Fraudehelpdesk.
3. Laat controleren of een mailbox is overgenomen, als de fraude via mail van een echt adres kwam.
4. Bespreek het met je team zonder schuldvraag. Iedereen kan erin trappen; de afspraak wordt er alleen sterker van.

Hoe SEBA Connect hierbij helpt

Bij Microsoft 365-beheer regelen we tweestapsverificatie en de beveiliging van je maildomein, en controleren we bij een verdacht voorval of een mailbox is overgenomen. De betaalafspraak maak je zelf, maar we denken graag mee. Stel je vraag.