Vrijdagnamiddag, tien voor vijf. De boekhoudster van een kmo wil net afsluiten wanneer haar telefoon gaat. De zaakvoerder. Hij klinkt gehaast, een tikje samenzweerderig. Er loopt een overname, zegt hij, strikt vertrouwelijk, de advocaten mailen binnen enkele minuten de betaalgegevens, en de overschrijving moet vandaag nog vertrekken of de deal springt af. Hij kan niet lang praten, hij zit tussen twee vergaderingen. “Ik reken op jou. Bespreek dit met niemand.”

Niets aan dat telefoontje is vreemd, en dat is net het probleem. De stem klinkt juist. De mail die volgt draagt het briefhoofd van een advocatenkantoor. Het bedrag is groot maar geloofwaardig voor jouw bedrijf. Elk signaal dat je financiële team geleerd heeft te controleren, staat op groen, omdat elk signaal vervalst is.

Ik bouw beroepshalve verificatietools, en als de fraudedossiers me één ding blijven leren, is het dit: betaalfraude tegen bedrijven is zelden een hackingverhaal. Het is een vertrouwensverhaal. Niemand breekt in bij de bank. Iemand overtuigt één persoon met betaalbevoegdheid dat de instructie voor zijn neus echt is.

Zo komt CEO-fraude bij je bedrijf binnen

Vier deuren, in grofweg de volgorde waarin ze in de dossiers opduiken.

De gekaapte mailthread. De mailbox van een leverancier wordt weken op voorhand stilletjes gecompromitteerd. Wanneer er een echte factuur in bespreking is, antwoordt de fraudeur ín die echte conversatie: “gelieve voortaan ons nieuwe rekeningnummer te gebruiken.” De historiek klopt, de namen kloppen, de dossierreferenties kloppen. Alleen het IBAN is nieuw. Dit is de variant die zorgvuldige mensen vangt, want alles wat ze nakijken ís ook echt, behalve dat ene veld.

De vertrouwelijke overname. Het telefoontje hierboven, of de mailversie ervan: een bericht vanaf het adres van de CEO (of één letter ernaast) aan iemand van de boekhouding, met een geheim dossier als dekmantel. Het verhaal wisselt, de ingrediënten nooit: autoriteit, urgentie, geheimhouding. Het Centrum voor Cybersecurity België beschrijft het patroon en merkt op dat de golven vaak net voor vakantieperiodes en verlengde weekends komen, wanneer de echte chef onbereikbaar is.

De leveranciersbrief. Een verzorgde pdf op overtuigend briefpapier: “wij zijn van bank veranderd, gelieve alle toekomstige betalingen op onderstaande rekening uit te voeren.” Daar is geen gehackte mailbox voor nodig, alleen je leverancierslijst en wat geduld. Dit is factuurfraude in haar zuiverste vorm.

De deepfake-vergadering. In januari 2024 kreeg een medewerker van het ingenieursbureau Arup in Hongkong een bericht over een vertrouwelijke transactie, zogezegd van de Britse CFO van de groep. Hij vertrouwde het niet, zei hij achteraf. Tot hij in een videocall stapte met die CFO en enkele collega’s die hij herkende. Elke andere deelnemer aan dat gesprek was een AI-deepfake, gebouwd op publiek beschikbare beelden. Hij voerde vijftien overschrijvingen uit naar vijf rekeningen, samen zo’n 25,6 miljoen dollar, voor een controle bij het hoofdkantoor de fraude blootlegde (CNN reconstrueerde de zaak). “Ik heb hem toch zelf gezien op de call” bewijst sindsdien even weinig als “ik herkende haar stem”.

Waarom een goed team toch betaalt

Wie denkt dat dit alleen naïeve bedrijven overkomt, moet één Belgische zaak onthouden. In januari 2016 maakte Crelan bekend dat het via CEO-fraude tot 70 miljoen euro was kwijtgespeeld, ontdekt bij interne controles; het parket werd ingelicht en de bank benadrukte dat haar eigen vermogen de klap kon opvangen (VRT NWS berichtte erover). Een Belgische bank. Een instelling waarvan risicobeheersing het kernproduct is. Als het daar lukt, is “onze mensen trappen daar niet in” geen beleid maar een hoop.

Waarom werkt het? Drie hefbomen. Autoriteit: een bediende belt de grote baas niet op om te vragen of hij wel echt zichzelf is. In de meeste bedrijfsculturen voelt dat als insubordinatie. Urgentie: de deal moet vandaag rond, en het is opvallend vaak vrijdagnamiddag of de dag voor een brugdag, wanneer er weinig goedkeurders in huis zijn. Geheimhouding: “vertel het niemand” wordt verpakt als discretie, maar de echte functie is het uitschakelen van de collega die anders hardop “raar” zou zeggen.

En dit is de asymmetrie waar ik als oprichter telkens op uitkom: jouw CEO kan een bediende in tien seconden verifiëren. De bediende heeft geen enkele manier om de CEO te verifiëren. Elke truc in dit artikel woont in dat eenrichtingsverkeer.

Een betaalprotocol voor je financiële team

Het tegengif is geen waakzaamheid. Waakzaamheid is een stemming, en stemmingen verliezen van professionals. Het tegengif is een mechanisch protocol dat op een rustige dinsdag exact hetzelfde loopt als op een paniekerige vrijdag. Schrijf dit uit, pas de drempels aan je omvang aan, en maak er beleid van:

Vier ogen op elke betaling boven een vaste drempel en op elke eerste betaling aan een nieuwe begunstigde. Twee mensen, onafhankelijk, geen van beiden kan alleen uitvoeren.
Terugbellen via een ander kanaal voor elke instructie die per mail, telefoon of video binnenkomt. Verifieer langs een andere weg dan waarlangs de vraag kwam, op een nummer dat je al ín je systemen had. Nooit het nummer uit het bericht, de handtekening of de brief; dan bel je de fraudeur zelf terug.
Behandel elke IBAN-wijziging als een nieuwe begunstigde. Bel je vaste contactpersoon bij de leverancier op het nummer uit je stamgegevens. Tot die bevestigt: betaal op de oude rekening, of betaal niet.
Geen uitzonderingen voor de top. Niet voor de CEO, niet voor de raad van bestuur, niet voor “de advocaat van het dossier”. Hoe groter de naam, hoe strikter de controle.
Laat eerste betalingen aan nieuwe rekeningen 24 uur rijpen waar de business het toelaat. Fraude heeft haast; echte facturen niet.

Meer is het niet. Het kost een paar telefoontjes per maand. Wat het voorkomt, is een overschrijving die je nooit meer terugziet.

Maak weigeren veilig, vooraf

Het protocol heeft precies één breekpunt: het moment waarop een overtuigende chef er live tegen duwt. “Ik heb geen tijd voor jouw terugbelrondje. Besef je wat hier op het spel staat?” Een regel die een boze baas kan wegwuiven, is geen regel maar een suggestie.

Het ontbrekende stuk is dus politiek, niet technisch. De CEO moet het protocol vooraf zegenen, schriftelijk en ten overstaan van het team, met een zin als: “Als iemand, ikzelf inbegrepen, je ooit onder druk zet om de terugbelcontrole over te slaan, dan is die druk zelf het sterkste fraudesignaal dat je ooit zal krijgen. Weigeren is je job, en ik dek je publiek, elke keer.” Dat draait de psychologie om. De baas tegenspreken is een carrièrerisico; het staande order van de baas uitvoeren is carrièreveiligheid. De medewerker van Arup twijfelde vóór de videocall. Twijfel heeft een veilige landingsplaats nodig, en alleen de top van de hiërarchie kan die bouwen.

Het eerste uur na een frauduleuze overschrijving

Is het geld al vertrokken, dan wint snelheid van overleg. Bel onmiddellijk de fraudedienst van je bank en vraag een terugroeping (recall) én een waarschuwing aan de ontvangende bank; het geld staat vaak nog uren op de eerste muilezelrekening voor het versnipperd wordt. Doe daarna aangifte bij de politie, bij voorkeur nog dezelfde dag, met alle stukken. Bedrijven kunnen het incident ook melden bij het CCB via Safeonweb @ work, dat mee adviseert. Bewaar alles: volledige mailheaders, de valse factuur, belgeschiedenis. En maak van de medewerker niet de schuldige. Wie de bedrogen collega publiekelijk afstraft, leert het volgende slachtoffer om de fraude een week te verzwijgen, precies de week waarin terugvordering nog kans maakte.

De mens verifiëren, niet het kanaal

Elke controle hierboven is een omweg rond één ontbrekende bouwsteen: twee collega’s aan de telefoon kunnen elkaar niet bewijzen wie ze zijn. Dat gat bouwen we met Hongi dicht. Twee mensen koppelen één keer fysiek, en daarna toont de app elk van hen een roterend codewoord, elke 30 seconden ververst en offline berekend op het toestel zelf; een oplichter kan, hoe goed de stem of het beeld ook is, nooit beide kanten kennen. Een CFO en CEO die gekoppeld zijn, hebben een controle van twee seconden voor exact het vrijdagtelefoontje waarmee dit artikel begon: geen codewoord, geen betaling. Het vervangt de vier ogen en het terugbellen niet, en dat ga ik ook niet beweren. Het dicht het specifieke gat dat zij openlaten: de stem aan de lijn. Datzelfde mechanisme is waar ons organisatiespoor naartoe werkt.

Tot dan: hou vast aan de saaie versie. Terugbellen op een gekend nummer, vier ogen, geen uitzonderingen. De overschrijving kan wachten tot maandag. De fraude niet.