CEO-fraude en factuurfraude: “Kun je dit vandaag nog overmaken?”
CEO-fraude richt zich op wie de betalingen doet: de boekhouder, de office manager, de assistent. De mail komt van “de baas”, is vertrouwelijk en heeft haast. De schade loopt per geval in de tienduizenden.
Twee varianten. Bij CEO-fraude mailt (of appt) iemand die zich voordoet als de directeur: een spoedbetaling voor een overname, een geheime deal, “ik zit in een vergadering, regel het even”. Bij factuurfraude komt een echte factuur van een echte leverancier, maar met een nieuw rekeningnummer — soms omdat de mailbox van de leverancier is gehackt.
De oplichters hebben huiswerk gedaan: namen van LinkedIn, de huisstijl van de site, soms een gekaapt mailaccount. Daarom werkt “het ziet er echt uit” niet als check. Wat wel werkt: één vaste regel voor elke betaling die afwijkt.
Zo herken je het
- 1Haast en geheimhouding.“Vandaag nog”, “praat er met niemand over”, “ik ben niet bereikbaar”. Echte spoedbetalingen zijn zeldzaam en nooit geheim.
- 2Een afwijkend afzenderadres.directeur@bedrijf-nl.com in plaats van @bedrijf.nl. Op een telefoon zie je alleen de naam.
- 3Een nieuw rekeningnummer.“Onze bankgegevens zijn gewijzigd” per e-mail, zonder telefoontje. Dit is de complete factuurfraude in één zin.
- 4Een buitenlandse IBAN voor een Nederlandse partij.Of een IBAN op naam van een privépersoon.
- 5Gedrag dat niet past.Een directeur die anders nooit zelf om betalingen vraagt, of een leverancier die opeens “dringend” schrijft.
Een echt voorbeeld, uit elkaar gehaald
- Vertrouwelijk + haast + niet bereikbaar: het script.
- Een echte overname loopt via de notaris met documenten, niet via een mailtje aan de administratie.
- Het afzenderadres was mark.devries@bedrijf-holding.com — het bedrijf mailt vanaf @bedrijf.nl.
Wat je doet
- Eén regel: afwijkende betalingen worden altijd telefonisch bevestigd.Via het nummer dat je al had — niet het nummer in de mail. Bij de directeur zelf, bij de leverancier via het bekende nummer. Geen uitzonderingen, ook niet voor de baas.
- Nieuwe bankgegevens? Altijd bellen.Leg het vast als vaste procedure: een rekeningnummerwijziging wordt pas verwerkt na een telefoontje naar een bekend nummer.
- Vierogenprincipe boven een grens.Twee mensen keuren elke betaling boven een bedrag goed. Oplichters mikken op wie alleen zit.
- Al betaald? Bel de bank binnen het uur.Zakelijke overboekingen naar het buitenland zijn soms nog tegen te houden. Doe aangifte, meld bij de Fraudehelpdesk, en licht de leverancier in als zijn mail gekaapt was.
Doe dit nooit
- Een betaling doen omdat de mail “van de directeur” komt en haast heeft.
- Een rekeningnummer wijzigen op basis van een e-mail alleen.
- Het “discreet” houden. Discretie is het wapen van de oplichter.
Veelgestelde vragen
Wij zijn een klein bedrijf. Zijn wij ook doelwit?
Juist. Kleine bedrijven hebben zelden een vierogenprincipe, en de namen staan op de site en de KVK. Eén afspraak (bellen bij afwijkingen) beschermt je bijna volledig.
De mail kwam echt van het adres van onze leverancier. Hoe kan dat?
Dan is de mailbox van de leverancier gehackt. De oplichter leest mee, wacht op een echte factuur en stuurt hem opnieuw met een ander rekeningnummer. Daarom: bellen bij elke wijziging.
Is de bank aansprakelijk als wij naar het verkeerde nummer overmaken?
Meestal niet: de betaling is door jou goedgekeurd. Snel bellen kan helpen om het geld te bevriezen; daarna is het aan de politie.
Plak het in de checker. Dertig seconden, en je weet wat anderen al zagen.