René denkt vrijblijvend met u mee: waar u staat, wat er echt nodig is en wat kan wachten.
CEO-fraude is oplichting waarbij een crimineel zich voordoet als de directeur of een andere leidinggevende. Hij vraagt een medewerker om snel en vertrouwelijk geld over te maken. Factuurfraude is de variant via leveranciers: een factuur lijkt van een bekende relatie te komen, maar het rekeningnummer is veranderd.
Beide vormen draaien om hetzelfde moment: de betaalopdracht. Wie dat moment goed inricht, met een vaste controle en een tweede paar ogen, neemt de crimineel zijn belangrijkste kans af. Daar is geen dure techniek voor nodig.
Hieronder leest u hoe beide vormen werken, aan welke signalen u ze herkent en welke afspraken helpen. Ook staat erbij wat u doet als er al is betaald. Hoe deze fraude past tussen de andere vormen, leest u bij cybercrime voor bedrijven.
Hoe CEO-fraude werkt
De crimineel bereidt zich goed voor. Hij zoekt uit wie er op de financiële afdeling werkt, wie de directeur is en wanneer die op reis is. Veel van die informatie staat op de website, op LinkedIn of in het nieuws.
Dan volgt het bericht. Dat komt per mail, soms van een adres dat bijna echt is en soms van een vervalste afzender. Het kan ook via WhatsApp of de telefoon. De toon is dringend en vertrouwelijk: er loopt een overname, niemand mag het weten en het geld moet vandaag naar een buitenlandse rekening.
Volgens de Fraudehelpdesk richten criminelen zich vaak op dochterbedrijven en buitenlandse vestigingen. Daar kennen medewerkers de directie minder goed, en is even checken lastiger. Bij kleinere organisaties vraagt de nep-directeur soms om cadeaubonnen in plaats van een overboeking.
Hoe factuurfraude werkt
Factuurfraude is een vorm van business e-mail compromise (BEC): fraude waarbij criminelen het mailverkeer van een bedrijf misbruiken. De politie onderscheidt drie varianten:
- Een aangepaste factuur. De crimineel onderschept een echte factuurmail, verandert het rekeningnummer en stuurt hem door.
- Een mail over de factuur. Kort na een echte factuur komt een bericht dat het rekeningnummer is gewijzigd, vaak met de oorspronkelijke tekst eronder.
- Een wijziging van stamgegevens. Een verzoek om het rekeningnummer van de leverancier in uw administratie aan te passen, zodat alle volgende betalingen verkeerd gaan.
Om een echte factuur te onderscheppen, heeft de crimineel toegang nodig tot een mailbox, bij de leverancier of bij uzelf. Die toegang komt bijvoorbeeld uit een eerdere phishing-mail. Factuurfraude kan ook op papier, met een onderschepte en aangepaste factuur.
De signalen op een rij
De signalen van beide vormen lijken op elkaar. Eén signaal is al genoeg om te stoppen en te controleren.
| Signaal | Hoe het eruitziet | Wat u doet |
|---|---|---|
| Haast | Het moet vandaag nog, anders loopt een deal mis. | Neem de tijd die de controle kost. |
| Geheimhouding | U mag het met niemand bespreken. | Bespreek het juist wel, met een collega of leidinggevende. |
| Gezag en vleierij | Een opdracht van hogerhand, of u bent de enige die dit kan. | Volg de normale procedure, ook bij de directeur. |
| Nieuw rekeningnummer | Een leverancier heeft ineens een andere bank. | Bel de leverancier op het nummer uit uw administratie. |
| Afzender net anders | Een letter verschilt, of het antwoordadres is anders. | Kijk naar het echte adres, niet naar de naam. |
| Onbereikbaar | De afzender kan niet bellen of zit in het buitenland. | Geen bevestiging, dan geen betaling. |
Bij echte CEO-fraude ziet u vaak meerdere signalen tegelijk. Juist de combinatie van haast, geheimhouding en een afwijkende route is typerend.
Kan iemand mailen namens uw directeur? Zonder DMARC kan een crimineel vaak een mail sturen die van uw eigen domein lijkt te komen. Met DMARC op het strengste niveau weigeren ontvangende mailservers zo’n mail.
Dat regelt u stap voor stap. Bekijk DMARC instellen
Waarom CEO-fraude ook bij goede organisaties werkt
CEO-fraude heeft niets met domheid te maken. Het speelt in op wat goede medewerkers juist doen: snel handelen voor de leiding, discreet zijn en geen lastige vragen stellen bij een duidelijke opdracht.
Daarom treft het ook grote, professionele organisaties. Het NCSC noemt als voorbeeld de bioscoopketen Pathé, die op deze manier voor 19 miljoen euro werd opgelicht. Zie de uitleg van het NCSC over BEC-fraude.
Het NCSC wijst ook op de kern: wees alert op verzoeken die net afwijken van het normale proces, en neem dan direct contact op met de afzender. Dat werkt alleen als het normale proces helder is, en als iedereen weet dat afwijken niet de bedoeling is.
Afspraken in het betaalproces
Hier zit de meeste winst. Deze afspraken zijn eenvoudig in te voeren en werken tegen CEO-fraude, factuurfraude en deepfakes tegelijk:
- Het vier-ogenprincipe. Twee mensen keuren elke betaling boven een afgesproken bedrag goed. Leg dat ook vast in uw bankomgeving, met limieten per gebruiker.
- Terugbellen via een bekend nummer. Bij een ongewoon verzoek of een gewijzigd rekeningnummer belt u de opdrachtgever of leverancier zelf, op het nummer uit uw administratie.
- Rekeningnummers vergelijken. Controleer het rekeningnummer op een factuur altijd met uw eigen administratie.
- Een wachttijd voor wijzigingen. Een nieuw rekeningnummer wordt pas actief na controle door een tweede persoon.
- Geen uitzonderingen. Ook de directeur gebruikt de normale route. Zo weet iedereen dat een uitzondering een signaal is.
In ISO 27001 valt dit onder functiescheiding, een van de beheersmaatregelen uit Annex A. Werkt u met die norm, dan kunt u de betaalafspraken daar onderbrengen.
Neem ook de waarschuwing van uw bank serieus. Sinds oktober 2025 controleert uw bank bij elke digitale Europese overboeking of naam en IBAN van de ontvanger bij elkaar horen. De Betaalvereniging noemt dit de IBAN-Naam Check. Krijgt u een melding dat de naam niet klopt, betaal dan pas na controle. Bij batchbetalingen kan dat anders zijn ingericht, dus vraag uw bank hoe het bij u werkt.
Technische maatregelen: DMARC en MFA
Techniek helpt op twee plekken. De eerste is uw domeinnaam. Met DMARC, samen met SPF en DKIM, legt u vast welke mail echt van uw domein komt. Staat DMARC op het strengste niveau, dan weigeren ontvangers nepmail die zogenaamd van uw directeur komt.
DMARC beschermt niet tegen een domein dat op het uwe lijkt, zoals een extra letter of een andere extensie. Het helpt ook niet als een echte mailbox is gekaapt. Daarvoor is de tweede plek: de mailboxen zelf.
Zet meerfactorauthenticatie (MFA, een tweede inlogstap) aan op alle mailboxen, ook op die van de directie en de financiële afdeling. Laat IT letten op nieuwe doorstuurregels, want criminelen gebruiken die om ongemerkt mee te lezen. Een label “extern” boven mail van buiten helpt medewerkers bovendien om een nep-directeur te herkennen. Zie ook Microsoft 365-beveiliging.
Al betaald? Dit doet u direct
Bel zo snel mogelijk uw bank. Hoe eerder u belt, hoe groter de kans dat een deel van het geld nog is tegen te houden. Wees daarbij realistisch: een overboeking is niet zomaar terug te draaien, en in veel gevallen lukt het niet meer.
Doe daarna aangifte bij de politie en meld de fraude bij de Fraudehelpdesk. Bewaar alle mails, berichten en betaalgegevens, want die zijn nodig voor de aangifte en voor de bank.
Laat ook uitzoeken hoe de crimineel aan zijn informatie kwam. Is er een mailbox gekaapt, bij u of bij de leverancier? Dan is dat een beveiligingsincident met eigen stappen, zie gehackt, wat nu. Zijn uw eigen facturen onderschept, waarschuw dan uw relaties en stuur ze een correcte factuur.
Uw eigen facturen beschermen
Criminelen kunnen ook uw naam gebruiken om uw klanten op te lichten. Zij krijgen dan een factuur die van u lijkt te komen, met het rekeningnummer van de crimineel. Dat raakt uw kasstroom en het vertrouwen van uw klanten.
Spreek met klanten af hoe u wijzigingen doorgeeft. Zet bijvoorbeeld op uw facturen dat u een rekeningnummer nooit per mail wijzigt. Vraag klanten om bij twijfel te bellen. Met DMARC op uw domein maakt u het bovendien lastiger om mail namens u te versturen.
Merkt u dat uw facturen zijn onderschept of nagemaakt, waarschuw dan uw klanten actief. Een korte, rustige mail met het juiste rekeningnummer en een telefoonnummer voor vragen voorkomt veel schade.
Veelgestelde vragen over CEO-fraude
Wat is het verschil tussen CEO-fraude en factuurfraude?
Bij CEO-fraude doet de crimineel zich voor als iemand binnen uw organisatie, meestal de directeur. Bij factuurfraude doet hij zich voor als een leverancier en verandert hij een rekeningnummer. Beide zijn vormen van BEC-fraude, en dezelfde betaalafspraken houden ze tegen.
Krijg ik mijn geld terug na CEO-fraude?
Soms gedeeltelijk, als u heel snel uw bank belt. In veel gevallen lukt het niet, omdat een overboeking niet zomaar terug te draaien is. Daarom loont het om vooral in te zetten op voorkomen.
Helpt DMARC tegen CEO-fraude?
Gedeeltelijk. DMARC voorkomt dat criminelen mailen vanaf uw exacte domein. Tegen een domein dat erop lijkt, of tegen een gekaapte mailbox, helpt het niet. Daarvoor zijn de betaalafspraken en MFA op mailboxen nodig.
Welke medewerkers lopen het meeste risico?
Iedereen die betalingen kan doen of klaarzetten, zoals de financiële afdeling, de officemanager en de directieassistent. Ook medewerkers van vestigingen die de directie weinig zien, zijn een bekend doelwit. Train vooral deze groep in de signalen en de afspraken.
Moet ik een poging tot CEO-fraude melden als er niets is betaald?
Ja, dat is verstandig. Meld de poging intern bij IT en bij de Fraudehelpdesk, zodat collega’s en anderen gewaarschuwd zijn. Een mislukte poging kan worden gevolgd door een nieuwe, bij een andere medewerker of met een ander verhaal.
Het betaalproces is uw sterkste verdediging
CEO-fraude en factuurfraude slagen als één persoon onder druk een betaling kan doen. Twee mensen, één vaste route en terugbellen via een bekend nummer maken dat veel moeilijker, hoe overtuigend het verhaal ook is.
De andere vormen van fraude en aanvallen staan in ons overzicht van cybercrime. Wilt u ook misbruik van uw domein afsluiten, zie dan DMARC instellen.
