Identiteitsfraude bij bedrijven: herkennen en voorkomen

Identiteitsfraude is het misbruiken van gestolen of valse identiteitsgegevens. Fraudeurs bestellen dan bijvoorbeeld iets op naam van een ander, lenen geld of sluiten een abonnement af. Bij bedrijven gaat het vaak om zakelijke identiteitsfraude, ook wel bedrijfsnaamfraude: iemand doet zich voor als uw organisatie. Daarnaast kunnen fraudeurs de gegevens van uw medewerkers misbruiken.

U merkt het meestal via een ander. Een klant belt over een factuur die u nooit stuurde, of een leverancier vraagt naar een onbekende bestelling. Soms meldt iemand een webshop met uw naam erop.

Hieronder leest u welke vormen er zijn, waar fraudeurs hun gegevens vandaan halen, hoe u identiteitsfraude herkent en voorkomt, en waar u meldt. Het is een vorm van cybercrime waarbij processen minstens zo belangrijk zijn als techniek.

Vormen van identiteitsfraude bij bedrijven

KVK beschrijft vier vormen van bedrijfsnaamfraude. Ze hebben gemeen dat de fraudeur uw naam leent om vertrouwen te wekken, en dat de rekening of de boze klant bij u terechtkomt.

Factuurfraude is voor uw klanten het lastigst te herkennen, omdat alles klopt behalve het rekeningnummer. Hoe u uw eigen betaalproces daartegen beschermt, staat in CEO-fraude en factuurfraude. Bij bestelfraude zit de schade vooral bij leveranciers die op uw naam leveren en daarna bij u aankloppen. Een nepwebshop of nepprofiel raakt vooral uw reputatie, omdat gedupeerden denken dat u de oplichter bent.

Daarnaast kan het misgaan met uw inschrijving in het Handelsregister, of met de identiteit van uw medewerkers en directie. Ook een fraudeur die zich aan de telefoon voordoet als uw directeur, soms met een nagemaakte stem, misbruikt een identiteit. Daarover meer in deepfakes en AI-fraude.

Waar fraudeurs uw gegevens vandaan halen

Voor identiteitsfraude met een bedrijf is weinig geheim nodig. Volgens KVK gebruiken oplichters vooral informatie die ze op internet over uw bedrijf vinden, zoals uw website, uw inschrijving en uw social media.

Daar komt bij wat er uitlekt. Gestolen papieren, een datalek of een gehackte mailbox leveren precies de details op die een nepfactuur geloofwaardig maken. Of e-mailadressen en wachtwoorden van uw medewerkers in een lek staan, controleert u met de tools uit gegevens gelekt checken.

Een deel van uw gegevens is bewust openbaar. Het Handelsregister laat bijvoorbeeld zien wie namens uw bedrijf mag tekenen, zodat anderen weten met wie ze zakendoen. Dat kunt u niet afschermen, maar u kunt wel in de gaten houden of wat er staat nog klopt. Woonadressen zijn in het Handelsregister overigens niet openbaar, tenzij uw bezoekadres ook uw woonadres is.

Signalen van identiteitsfraude

Identiteitsfraude wordt meestal ontdekt als er al iets mis is gegaan. Hoe eerder u een signaal herkent, hoe kleiner de schade. Let vooral op deze signalen.

• Onbekende facturen of aanmaningen. Voor bestellingen, abonnementen of diensten die niemand heeft afgenomen.
• Vragen van klanten. Over een factuur met een ander rekeningnummer, een bestelling die niet aankwam of een webshop die u niet kent.
• Incassobrieven. Brieven van een incassobureau over schulden die niet van u zijn.
• Wijzigingen die u niet deed. In uw inschrijving in het Handelsregister, in uw gegevens bij een leverancier of in de instellingen van een zakelijk account.
• Onverwachte accountmails. Bevestigingen van een nieuw account op naam van uw bedrijf, of een wachtwoordherstel dat niemand heeft aangevraagd.

Spreek af waar zulke signalen binnenkomen. Vaak belt een klant met de receptie of de financiële administratie. Daar moet bekend zijn dat dit geen gewone klacht is, maar een melding die direct door moet.

Identiteitsfraude voorkomen: de maatregelen die werken

Helemaal voorkomen kunt u identiteitsfraude niet, schrijft ook KVK. Wel kunt u het fraudeurs moeilijker maken en misbruik eerder opmerken. Deze maatregelen leveren het meeste op.

• Laat uw naam bewaken. Stel een melding in, zoals een Google-alert, op de naam van uw bedrijf. Zo ziet u snel als er ergens een site of profiel met uw naam opduikt.
• Controleer uw inschrijving. KVK raadt aan regelmatig na te gaan of uw gegevens in het Handelsregister kloppen. Zet het in de jaarplanning, zodat het niet van één persoon afhangt.
• Bescherm uw domein. Controleer welke gegevens openbaar staan bij uw domeinnaam en scherm gevoelige gegevens af waar dat kan. DMARC is een instelling die bepaalt wat ontvangende mailservers doen met mail die zich ten onrechte als uw domein voordoet. Zie DMARC instellen.
• Wees zuinig met details. Let op wat u deelt over medewerkers, processen en leveranciers, op social media en op uw website.
• Werk met een clean desk. Ruim vertrouwelijke papieren op en spreek af hoe u ze bewaart en vernietigt.
• Beperk de toegang. Alleen wie documenten met bedrijfs- of persoonsgegevens echt nodig heeft, kan erbij.
• Informeer uw medewerkers. Zij krijgen de vragen van klanten over vreemde facturen als eersten, en moeten weten waar ze die melden.

Een clean desk en toegangsbeheer staan ook als beheersmaatregel in Annex A van ISO 27001. Wie daarmee werkt, heeft een groot deel van deze lijst al geregeld.

Kopieën van identiteitsbewijzen veilig behandelen

Kopieën van paspoorten en identiteitskaarten zijn voor fraudeurs waardevol. Met een kopie waarop naam, geboortedatum en burgerservicenummer (BSN) staan, kunnen ze bijvoorbeeld een lening aanvragen of een telefoonabonnement afsluiten. Als organisatie heeft u daar op twee manieren mee te maken.

Ten eerste als ontvanger. Slechts enkele organisaties mogen een kopie van een identiteitsbewijs maken, zoals werkgevers en banken. Als werkgever bent u zelfs verplicht om de identiteit van uw medewerkers vast te stellen. Vraagt u om een andere reden een kopie, ga dan na of dat echt nodig is: vaak volstaat het noteren van het soort document en het documentnummer. Bewaar de kopieën die u wel heeft beveiligd, met toegang voor alleen wie ze nodig heeft, en niet langer dan nodig.

Ten tweede als verstrekker. Moeten uw medewerkers of bestuurders ergens een kopie inleveren, laat ze dan de KopieID-app van de Rijksoverheid gebruiken. Daarmee streept u gegevens weg die de ontvanger niet nodig heeft, zoals het BSN of de pasfoto. Ook zet u er een watermerk op met de ontvanger, het doel en de datum.

Raakt een bestand met kopieën van identiteitsbewijzen kwijt, dan kan dat een datalek met een hoog risico zijn. De Autoriteit Persoonsgegevens noemt kopieën van identiteitsdocumenten uitdrukkelijk als gevoelige gegevens die voor identiteitsfraude kunnen worden misbruikt. Hoe u dit in uw beleid regelt, hoort bij AVG en privacy.

Medewerkers en directie als doelwit

Fraudeurs gebruiken ook de identiteit van mensen in uw organisatie. Denk aan een nepprofiel van een medewerker op LinkedIn, een nep-helpdesk aan de telefoon of een betaalverzoek dat zogenaamd van de directeur komt.

Twee afspraken vangen het meeste af. Controleer een verzoek om geld of gegevens altijd via een tweede kanaal, met een nummer dat u zelf opzoekt. En laat wijzigingen in rekeningnummers of betaalgegevens nooit door één persoon afhandelen. Dit vier-ogenprincipe kost weinig tijd en voorkomt veel.

Leg medewerkers ook uit wat ze doen als ze een nepprofiel van zichzelf of van een collega vinden. Social-mediaplatforms hebben daarvoor een eigen meldpagina, en kunnen zo’n profiel blokkeren of verwijderen.

Identiteitsfraude ontdekt: zo pakt u het aan

Merkt u misbruik, verzamel dan eerst bewijs: valse facturen, mails, schermafdrukken van de nepwebshop en brieven van incassobureaus. Waarschuw daarna uw klanten, leveranciers en andere relaties, zodat niemand aan de fraudeur betaalt.

Bedrijfsnaamfraude is strafbaar, en KVK adviseert aangifte te doen van oplichting of valsheid in geschrifte. Daarnaast zijn er meldpunten met elk een eigen rol, zoals het Centraal Meldpunt Identiteitsfraude (CMI) van de Rijksdienst voor Identiteitsgegevens.

Zijn er bij het misbruik persoonsgegevens uit uw eigen organisatie gelekt, beoordeel dan ook of u een datalek moet melden.

Veelgestelde vragen over identiteitsfraude

Is bedrijfsnaamfraude strafbaar?

Ja. KVK adviseert aangifte te doen van oplichting of valsheid in geschrifte, ook als de schade beperkt lijkt. Zonder aangifte kan de politie geen onderzoek instellen, en kunt u de schade moeilijker verhalen.

Mag ik als werkgever een kopie van een identiteitsbewijs bewaren?

Ja. Werkgevers mogen een kopie maken, en u bent verplicht de identiteit van medewerkers vast te stellen. Bewaar de kopie beveiligd, met beperkte toegang, en houd u aan de bewaartermijn.

Hoe merk ik dat iemand onze KVK-inschrijving misbruikt?

Vaak via post, facturen of vragen van relaties die niet kloppen. Controleer daarom regelmatig uw gegevens in het Handelsregister. Ziet u een wijziging die niet van u komt, neem dan direct contact op met KVK en doe aangifte.

Kan een datalek tot identiteitsfraude leiden?

Ja. Vooral lekken met kopieën van identiteitsbewijzen, of met burgerservicenummers in combinatie met andere gegevens, zijn bruikbaar voor fraude. Ook een gelekt e-mailadres of telefoonnummer kan worden misbruikt voor gerichte phishing.

Hoe krijg ik een nepwebshop met onze naam offline?

Zoek via een Whois-dienst op wie de site beheert. Meld het misbruik bij de hostingpartij en bij de partij waar de domeinnaam is geregistreerd. Doe aangifte, meld de site bij de Fraudehelpdesk en waarschuw uw klanten via uw eigen kanalen.