Module 1 · 1.2
Phishing, CEO-fraude en factuurfraude
Module 1: Waarom jij een doelwit bent · Leestijd: 10 minuten
Leerdoel: Na deze les kun je de werkwijze van phishing, CEO-fraude en factuurfraude (BEC) herkennen en een betaalprocedure met terugbelcontrole opzetten.
Kernbegrippen: phishing, spear phishing, CEO-fraude, factuurfraude, Business Email Compromise, vier-ogenprincipe, terugbellen op bekend nummer
Drie vormen van dezelfde truc
Alle drie de aanvallen in deze les werken met misleiding. Er wordt niet ingebroken in een computer; er wordt iemand overgehaald om zelf iets te doen: een link aanklikken, een wachtwoord invullen, geld overmaken. Dat heet social engineering. Het werkt omdat het inspeelt op gewone menselijke reacties: je wilt je baas helpen, een leverancier op tijd betalen, een probleem snel oplossen.
| Vorm | Wat de aanvaller wil | Typisch bericht |
|---|---|---|
| Phishing | Inloggegevens, betaalgegevens of een klik op schadelijke software | "Je mailbox is vol, log in om je berichten te behouden" |
| CEO-fraude | Een spoedbetaling | "Ik zit in een overleg, kun je dit vandaag nog overmaken? Niet bespreken met anderen" |
| Factuurfraude | Betaling van een echte factuur op een verkeerde rekening | "Let op: ons rekeningnummer is gewijzigd" |
CEO-fraude en factuurfraude vallen samen onder de Engelse verzamelnaam Business Email Compromise (BEC): fraude waarbij zakelijke mail wordt misbruikt en een oplichter zich voordoet als iemand anders.
Phishing en spear phishing
Phishing is een bericht dat zich voordoet als een betrouwbare afzender, zodat jij iets doet wat je anders niet zou doen. Meestal gaat het om een link naar een nagemaakte inlogpagina, bijvoorbeeld van rnijnbank.example (met "rn" in plaats van "m"), of een bijlage met schadelijke software. Gewone phishing gaat naar grote aantallen mensen tegelijk, met een algemeen verhaal.
Bij spear phishing is het bericht op jou afgestemd. De aanvaller gebruikt je naam, je functie, de naam van een echte collega of leverancier, een project waar je aan werkt. Die informatie vindt hij op je website, LinkedIn, het KvK-register of in een eerder gelekte mailbox. Omdat het bericht klopt met wat je verwacht, valt het veel minder op.
Spelfouten zijn geen betrouwbaar kenmerk meer. Met vertaalprogramma's en AI-tekstgenerators schrijft een oplichter foutloos Nederlands. In module 3 leer je phishing herkennen aan dingen die een oplichter niet kan nabootsen: het echte domein van een link en de technische afzender van een mail.
CEO-fraude
Bij CEO-fraude krijgt iemand die betalingen doet een bericht dat lijkt te komen van de directeur of eigenaar. De Fraudehelpdesk beschrijft de vaste kenmerken:
- Autoriteit: het is een opdracht, geen vraag.
- Geheimhouding: "bespreek dit nog niet met anderen, het gaat om een overname."
- Tijdsdruk: het moet vandaag, voor de bank sluit.
- Een afzender die bijna klopt: bijvoorbeeld
directie@example-com.example, dat op het eerste gezicht op het eigen domein lijkt, of een privé-adres "omdat ik onderweg ben".
Soms wordt er een "advocaat" of "accountant" bij gehaald die de opdracht bevestigt; die hoort bij de oplichters. Ook verenigingen en kleine bedrijven worden zo benaderd: de penningmeester krijgt een mail van "de voorzitter".
Waarom werkt het? Omdat in een klein bedrijf iedereen elkaar kent en vertrouwt. De medewerker wil helpen, en de geheimhouding zorgt ervoor dat hij niet even bij een collega checkt. Het geheim is precies het doel van de oplichter.
Factuurfraude: alleen het IBAN is anders
Factuurfraude is lastiger te herkennen, omdat de factuur vaak echt is. Bedrag, ordernummer, logo, opmaak: alles klopt. Alleen het rekeningnummer is veranderd. Volgens de Fraudehelpdesk gebeurt dat op verschillende manieren: de factuur wordt onderschept en aangepast, er komt een losse brief "ons rekeningnummer is gewijzigd", of het bedrijf zelf is gehackt en de oplichter stuurt de mail vanuit de echte mailbox.
Dat laatste is belangrijk om te begrijpen. Als de mailbox van je leverancier leverancier.example is overgenomen, komt de mail echt van het goede adres. Alle technische controles (SPF, DKIM, DMARC uit module 4) slagen. De oplichter heeft de mailbox soms weken meegelezen, weet welke facturen openstaan en stuurt zijn bericht precies op het goede moment, in hetzelfde gesprek. Het afzenderadres controleren helpt hier dus niet.
Een pijnlijk detail: als je de oplichter hebt betaald, ben je de echte leverancier het bedrag in principe nog steeds schuldig.
Een voorbeeld
Bakkerij Example bestelt een nieuwe oven bij leverancier.example. De offerte, de orderbevestiging en de factuur komen allemaal netjes binnen. Twee dagen later volgt in hetzelfde mailgesprek:
Beste Petra, door een overstap naar een andere bank is ons rekeningnummer per direct gewijzigd. Wil je de factuur van de oven op het nieuwe nummer overmaken? Het oude nummer wordt volgende week opgeheven. Met vriendelijke groet, Joost
Het adres is goed, de naam van Joost is goed, het ordernummer klopt. Het enige wat de fraude verraadt, is de vraag zelf: een wijziging van rekeningnummer. Dat is altijd een moment om te controleren, nooit een moment om alleen op de mail te vertrouwen.
De betaalprocedure die het tegenhoudt
Je kunt niet elke nepmail herkennen. Je kunt wel zorgen dat een nepmail niet genoeg is om geld over te maken. Dat doe je met een paar vaste afspraken.
- Terugbellen op een bekend nummer. Bij elke wijziging van rekeningnummer, en bij elk ongebruikelijk betaalverzoek, bel je de afzender. Niet op het nummer in de mail of de factuur, want dat kan ook nep zijn, maar op een nummer dat je al had: uit je eigen administratie, het contract of de officiële website die je zelf intypt.
- Niet antwoorden op de mail. Wil je per mail controleren, typ het adres dan zelf in. Met "beantwoorden" kun je bij de oplichter uitkomen, bijvoorbeeld via een Reply-To die naar een ander adres wijst (les 3.3).
- Het vier-ogenprincipe. Betalingen boven een vast bedrag, nieuwe begunstigden en gewijzigde rekeningnummers worden door twee mensen gecontroleerd. In een eenmanszaak betekent dat: een vaste wachttijd en terugbellen voordat je betaalt.
- Geen uitzonderingen via mail of chat. De directeur vraagt nooit per mail of WhatsApp om de procedure over te slaan. Spreek dat af, juist ook met de directeur zelf. Dan weet iedereen: een bericht met "even buiten de normale weg" is per definitie verdacht.
- Gegevens vastleggen. Het rekeningnummer van een leverancier staat in je boekhouding. Vergelijk het nummer op elke factuur met wat je al had. Sinds oktober 2025 controleren banken in de eurozone bij een overboeking of de naam die je invult past bij het rekeningnummer (in het Engels Verification of Payee). Neem een waarschuwing daarvan serieus. Maar een groene uitslag zegt alleen dat naam en rekening bij elkaar horen, niet dat de ontvanger eerlijk is.
| Situatie | Actie |
|---|---|
| Nieuw rekeningnummer van bestaande leverancier | Terugbellen op bekend nummer, tweede persoon akkoord |
| Spoedbetaling op verzoek van directie | Bellen of persoonlijk navragen, procedure gewoon volgen |
| Nieuwe leverancier, eerste factuur | Gegevens controleren op officiële bron, tweede persoon akkoord |
| Factuur die er anders uitziet dan normaal | Navragen voordat je betaalt |
Als het toch misgaat
Heb je betaald en vertrouw je het niet meer? Dan telt elk uur.
- Bel direct je bank en vraag of de betaling kan worden tegengehouden of teruggehaald.
- Meld het bij de Fraudehelpdesk en doe aangifte bij de politie.
- Waarschuw de leverancier: als zijn mailbox is overgenomen, krijgen meer klanten nepberichten.
- Kwam het bericht uit je eigen mailbox of die van een collega, dan is die mogelijk overgenomen. Wijzig het wachtwoord, trek sessies in en controleer doorstuurregels (les 2.5 en 3.5).
Samenvatting
- Phishing, CEO-fraude en factuurfraude zijn social engineering: jij wordt overgehaald zelf iets te doen.
- Spear phishing is op jou afgestemd en daardoor veel overtuigender; spelfouten zijn geen goed kenmerk meer.
- CEO-fraude speelt op autoriteit, geheimhouding en tijdsdruk.
- Bij factuurfraude is vaak alleen het IBAN anders, soms vanuit de echte gehackte mailbox van de leverancier.
- Een betaalprocedure met terugbellen op een bekend nummer en het vier-ogenprincipe houdt de meeste fraude tegen, ook als je de nepmail niet herkent.
Quiz
Opdracht
Opdracht A1.2: Herken de fraude. Je krijgt zes korte berichten. Geef per bericht aan of het waarschijnlijk phishing, CEO-fraude, factuurfraude of een normaal bericht is, en welke actie je neemt. Het programma kijkt na en geeft per bericht de kenmerken die je had kunnen zien.
Opdracht D1.2: Je eigen betaalprocedure. Schrijf de betaalprocedure van jouw bedrijf op één A4: wanneer terugbellen, op welk nummer, wie een tweede controle doet en vanaf welk bedrag. Bespreek hem met iedereen die betalingen doet.
Opdracht D1.2: Je eigen betaalprocedure
Zo pak je het aan: (1) Schrijf op één A4 wanneer een betaling extra controle krijgt: gewijzigd rekeningnummer, nieuwe begunstigde, bedrag boven een grens die jij kiest, spoedverzoek buiten de normale weg. (2) Schrijf op hoe je terugbelt: alleen op een nummer uit je eigen administratie, het contract of de officiële website die je zelf intypt. (3) Wijs een tweede persoon aan die meekijkt (in een eenmanszaak: een vaste wachttijd van bijvoorbeeld een nacht). (4) Spreek met de leiding af dat de procedure nooit via mail of chat wordt overgeslagen. (5) Bespreek het A4 met iedereen die betalingen doet en hang het op.
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.
- Is deze mail echt van WebOké? Phishing herkennen en de actiecode gebruiken
- Mails van ICANN of de registry over je domein: echt of nep, en wat moet je doen?
- Fraudehelpdesk, CEO-fraude: https://www.fraudehelpdesk.nl/ondernemers-fraude/ceo-fraude/
- Fraudehelpdesk, Het rekeningnummer op de factuur is aangepast: https://www.fraudehelpdesk.nl/fraude/het-rekeningnummer-op-de-factuur-is-aangepast/
- Fraudehelpdesk, Onderschepte facturen: https://www.fraudehelpdesk.nl/ondernemers-fraude/onderschepte-facturen/