Wat is CEO-fraude? Herken de signalen op tijd

Een mailtje van de directeur met de vraag om met spoed een factuur te betalen. Of een appje van een bekende leverancier die zijn nieuwe bankrekeningnummer doorgeeft. Het lijkt een normale werkdag, totdat blijkt dat het geld naar een frauduleuze rekening is overgemaakt. Wat is CEO-fraude precies? Het is een vorm van gerichte oplichting waarbij criminelen zich voordoen als een leidinggevende, collega of zakelijke relatie om een betaling, inloggegevens of vertrouwelijke informatie los te krijgen.

CEO-fraude is geen probleem dat alleen grote corporates treft. Juist mkb-organisaties zijn interessant voor fraudeurs. De lijnen zijn kort, medewerkers kennen elkaar vaak persoonlijk en een spoedverzoek van een directeur voelt daardoor geloofwaardig. Criminelen maken slim gebruik van die betrokkenheid, drukte en het vertrouwen dat nodig is om prettig samen te werken.

Wat is CEO-fraude en hoe werkt het?

Bij CEO-fraude onderzoekt een crimineel eerst hoe jouw organisatie in elkaar zit. Via openbare informatie, sociale media, bedrijfswebsites, nieuwsberichten of gelekte gegevens verzamelen ze namen, functies, projecten en contactgegevens. Daarna kiezen ze een geloofwaardige route om iemand te misleiden.

De bekendste variant is een e-mail die ogenschijnlijk van de directeur, eigenaar of financieel verantwoordelijke komt. Daarin staat bijvoorbeeld dat een overname, juridisch dossier of grote bestelling strikt vertrouwelijk is. De ontvanger moet daarom direct handelen en vooral niemand anders inschakelen. Dat laatste is een belangrijk alarmsignaal: fraudeurs willen voorkomen dat iemand hun verhaal controleert.

Maar CEO-fraude gaat niet alleen via e-mail. Criminelen gebruiken ook WhatsApp, Teams, telefoontjes of nagemaakte facturen. Soms nemen ze eerst een mailbox over en sturen ze vanuit een echt e-mailadres een betaalverzoek. Dan is een controle op alleen het afzenderadres niet meer genoeg.

Een herkenbare praktijksituatie

Stel: je werkt op de administratie van een groeiend adviesbureau. De directeur is die ochtend bij een klant en stuurt via WhatsApp dat hij slecht bereikbaar is. Hij vraagt je een urgente betaling voor een nieuwe samenwerking nog vandaag te regelen. Het bedrag is hoog, maar niet ondenkbaar. De toon is kort en dwingend: “Graag nu oppakken, dit is vertrouwelijk.”

Als je het nummer niet kent, kan dat al reden zijn voor twijfel. Maar ook als de naam, profielfoto en schrijfstijl kloppen, moet je de betaling verifiëren via een eerder bekend telefoonnummer of een vaste interne procedure. Niet door terug te appen naar het nummer dat het verzoek stuurde. Juist daar wachten fraudeurs op.

Waarom CEO-fraude zo vaak overtuigt

Deze fraudevorm draait minder om ingewikkelde techniek dan om menselijke psychologie. Criminelen spelen in op autoriteit, tijdsdruk, loyaliteit en geheimhouding. Iemand wil een directeur niet ophouden, een belangrijke klant niet teleurstellen en geen financiële kans laten lopen.

Daar komt bij dat moderne communicatie informeel is geworden. Een kort Teams-bericht of WhatsAppje van een manager is heel normaal. Daardoor valt een ongewoon verzoek minder snel op dan vroeger. Zeker bij hybride werken, wanneer collega’s elkaar niet dagelijks op kantoor zien, is een digitaal bericht soms het enige contactmoment.

Ook goede beveiliging biedt geen absolute garantie. Multifactor-authenticatie, veilige e-mail en actuele apparaten verkleinen de kans op een overgenomen account aanzienlijk. Maar als een medewerker zelf, onder druk, geld overmaakt of gegevens deelt, kan techniek dat niet altijd tegenhouden. Daarom horen duidelijke afspraken en bewust handelen bij elkaar.

Signalen die je serieus moet nemen

Eén vreemd detail betekent niet automatisch fraude. Een directeur kan werkelijk haast hebben, een leverancier kan echt van bank wisselen en een collega kan vanaf een nieuw nummer berichten. Het gaat om de combinatie van signalen en de vraag of een verzoek afwijkt van wat normaal is binnen jouw organisatie.

Let extra op wanneer een bericht onverwacht is, een ongebruikelijke betaalroute vraagt of nadrukkelijk geheim moet blijven. Ook taalgebruik dat net niet klopt, een licht afwijkend e-mailadres en een verzoek om een nieuw rekeningnummer te gebruiken verdienen aandacht. Fraudeurs gebruiken bijvoorbeeld een domeinnaam die sterk lijkt op die van jouw organisatie, met één omgewisselde letter.

Wees ook alert op druk: “binnen een uur betalen”, “ik zit in een bespreking”, “bel me niet” of “dit mag nog niet bekend worden”. Een echt spoedverzoek kan bestaan, maar een gezonde organisatie heeft altijd ruimte voor een korte controle. Zeker als het om geld, bankgegevens, wachtwoorden of persoonsgegevens gaat.

Bescherm je organisatie met heldere gewoontes

De beste verdediging tegen CEO-fraude is een werkwijze die medewerkers ook onder tijdsdruk kunnen volgen. Niet een dik beleid dat in een map verdwijnt, maar een paar afspraken die iedereen kent en durft toe te passen.

Maak bijvoorbeeld duidelijk dat wijzigingen in bankrekeningnummers altijd via een tweede, onafhankelijk contactmoment worden gecontroleerd. Gebruik daarbij een telefoonnummer uit je eigen administratie, niet het nummer in de e-mail of app. Leg ook vast welke betalingen een tweede akkoord nodig hebben. De hoogte van het bedrag is relevant, maar kijk ook naar het risico: een kleine betaling naar een nieuw rekeningnummer kan al een test zijn voor een groter verzoek.

Zorg daarnaast dat medewerkers weten dat ze nooit in de problemen komen door te verifiëren. Dat vraagt iets van leidinggevenden. Als een medewerker een directeur belt om een verzoek te controleren, moet de reactie zijn: goed dat je checkt. Niet: waarom houd je me op? Veilig werken lukt alleen wanneer controle normaal is, ook als het ongemakkelijk voelt.

Combineer procedures met technische basisbeveiliging

Heldere betaalafspraken zijn essentieel, maar technische maatregelen beperken de mogelijkheden van fraudeurs. Denk aan multifactor-authenticatie voor e-mail en Microsoft 365, sterke en unieke wachtwoorden, tijdige updates en beperkte toegangsrechten. Niet iedereen hoeft bij alle financiële gegevens of mailboxen te kunnen.

E-mailbeveiliging kan verdachte afzenders, vervalste domeinen en schadelijke bijlagen vaker herkennen voordat ze bij een medewerker terechtkomen. Het is geen reden om minder alert te zijn, wel een waardevolle extra laag. Voor organisaties die veel via Teams, cloudopslag en mobiele apparaten werken, is goed beheer van accounts en apparaten minstens zo belangrijk.

Controleer ook regelmatig of vertrokken medewerkers geen toegang meer hebben en of herstelgegevens van accounts nog kloppen. Een vergeten account of een gedeelde mailbox zonder duidelijke eigenaar kan ongemerkt een zwakke plek worden. Veiligheid zit vaak in zulke praktische details.

Wat doe je als je CEO-fraude vermoedt?

Stop eerst met handelen. Maak geen geld over, open geen bijlagen en deel geen codes of inloggegevens. Neem vervolgens via een vertrouwd kanaal contact op met de persoon die het verzoek zou hebben gestuurd. Gebruik een opgeslagen nummer, bel via de receptie of loop even langs als dat kan.

Is er al betaald, schakel dan direct je bank in. Hoe sneller je reageert, hoe groter de kans dat een betaling nog kan worden tegengehouden of onderzocht. Informeer daarna je IT-partner of interne IT-verantwoordelijke, zodat die kan nagaan of een mailbox, account of apparaat is gecompromitteerd. Bewaar de e-mails, chatberichten en facturen als bewijs, maar stuur verdachte berichten niet zomaar door naar collega’s.

Als er mogelijk persoonsgegevens, klantinformatie of inloggegevens zijn gedeeld, moet je de impact zorgvuldig beoordelen. Afhankelijk van wat er is gebeurd, kunnen aanvullende stappen nodig zijn, zoals wachtwoorden resetten, sessies beëindigen, betrokkenen informeren of een melding doen. Wacht daar niet mee uit angst voor gedoe. Vroeg handelen beperkt meestal de schade.

Veilig werken zonder wantrouwen als standaard

Een goede aanpak tegen CEO-fraude maakt je organisatie niet stroperig. Het doel is niet dat iedereen elk bericht wantrouwt, maar dat medewerkers bij afwijkende verzoeken even pauzeren en weten wat ze moeten doen. Dat geeft rust: je hoeft niet zelf te gokken of iets echt is, omdat er een duidelijke route voor controle bestaat.

Bespreek daarom af en toe een realistisch voorbeeld in het team. Niet om mensen bang te maken of fouten af te rekenen, maar om patronen herkenbaar te maken. Een medewerker die op tijd aan de bel trekt, beschermt niet alleen een betaling, maar mogelijk ook klantgegevens, reputatie en de continuïteit van jouw bedrijf.

Een korte controle kan soms een paar minuten kosten. De geruststelling dat je geld en gegevens op de juiste plek blijven, is die tijd ruimschoots waard.