CEO-fraude: als 'de baas' om een spoedbetaling vraagt

Wat is CEO-fraude?

De naam zet je makkelijk op het verkeerde been: het gaat niet om fraude dóór een CEO, maar om fraude úit naam van een CEO. Een medewerker — vaak iemand op de financiële administratie of het secretariaat — krijgt een mail of appje dat van de hoogste baas lijkt te komen. De boodschap: er moet vandaag nog een betaling de deur uit, het is vertrouwelijk, en er is geen tijd om de gebruikelijke weg te bewandelen. Soms gaat het om een “overname die nog geheim is”, soms om een “boze leverancier”, soms simpelweg om “regel jij dit even, ik zit in een vergadering”.

Het venijn zit in de combinatie van twee dingen die elkaar normaal corrigeren: gezag en controle. Juist omdat de vraag van de baas lijkt te komen, voelt navragen als brutaal — en precies dat gevoel is het gereedschap van de aanvaller. CEO-fraude is daarmee geen mailprobleem maar een gedragsprobleem, en de oplossing ligt dus ook in gedrag en afspraken, niet in een extra spamfilter.

Business email compromise: zo loopt de aanval

Een goede BEC-aanval is huiswerk, geen gok. De aanvaller verdiept zich in jouw organisatie voordat hij ook maar één mail stuurt. Hij leest LinkedIn-profielen, persberichten en de “ons team”-pagina, en weet zo wie de directeur is, wie de betalingen doet en hoe jullie elkaar aanspreken. Soms gaat hij verder en kaapt hij een echte mailbox via een eerder gestolen wachtwoord; dan leest hij wekenlang mee met lopende correspondentie. Lukt dat niet, dan vervalst hij het afzenderadres of registreert een domeinnaam die één letter afwijkt van de echte.

Dan komt de timing. De mail valt binnen op een moment dat verificatie lastig is: vrijdagmiddag, vlak voor een vakantie, of precies wanneer de directeur aantoonbaar op reis of in een congres zit — informatie die vaak gewoon online staat. Tot slot de druk: vertrouwelijkheid (“dit mag nog met niemand gedeeld”), urgentie (“moet vandaag”) en vleierij (“ik vertrouw dit alleen aan jou toe”). Die drie samen zijn ontworpen om je af te snijden van je collega’s en je procedures. Hoe deze aanval zich verhoudt tot andere varianten lees je in het overzicht van soorten phishing.

Factuurfraude: hetzelfde spel, andere knop

Een naaste verwant van CEO-fraude is factuurfraude. Daar doet de aanvaller zich niet voor als je directeur, maar als een bestaande leverancier: “Wij zijn van bank gewisseld, wil je het nieuwe rekeningnummer gebruiken voor de openstaande facturen?” Soms komt zo’n bericht uit een werkelijk gekaapte mailbox van de leverancier, compleet met de lopende mailwisseling eronder — dan klopt álles aan de mail, behalve het rekeningnummer.

Het mechanisme is identiek aan CEO-fraude: een vertrouwde afzender, een plausibele vraag en een betaling die naar de verkeerde plek gaat. Alleen de knop verschilt — niet “maak met spoed over”, maar “wijzig het rekeningnummer”. Daarom hoort de verdediging ook bij elkaar: elke wijziging van een rekeningnummer verifieer je via een ander kanaal, bij een contactpersoon die je al kende, op een nummer dat je niet uit de verdachte mail haalt.

Deepfakes maken de directeur-truc geloofwaardiger

Het klassieke advies bij CEO-fraude was jarenlang: bel even met de baas, dan hoor je het meteen. Dat advies staat onder druk. Met voice cloning is een stem na te bootsen op basis van bestaand audiomateriaal — en van bestuurders staat veel audio online, van interviews tot aandeelhouderspresentaties. Er duiken inmiddels ook gevallen op waarin videogesprekken werden vervalst. Hoe vaak dat gebeurt laat zich lastig hard maken, maar de richting is duidelijk: “ik herken de stem” wordt een steeds zwakker bewijs.

De conclusie is niet dat verifiëren zinloos is geworden, maar dat de verificatie moet verschuiven van herkennen naar afspreken. Een stem kun je namaken; een vooraf afgesproken procedure of codewoord niet. Wie de verificatie vastlegt in een afspraak in plaats van in een gevoel, is ook tegen een overtuigende deepfake bestand.

Vier werkafspraken die CEO-fraude smoren

Tegen dit soort aanvallen helpt geen oplettendheid alleen — op een drukke dag is iedereen wel eens minder scherp. Wat wél helpt: afspraken die niet afhangen van hoe iemand zich die dag voelt.

1. Verifieer via een tweede kanaal. Elke ongebruikelijke betaalopdracht of spoedvraag check je via een ander kanaal dan waarlangs hij binnenkwam. Mail binnen? Dan bellen of langslopen, op een nummer dat je zelf al had. Niet antwoorden op de mail zelf — dan praat je mogelijk met de aanvaller.
2. Vier ogen bij betalingen en rekeningwijzigingen. Niemand kan in zijn eentje een grote betaling uitvoeren of een rekeningnummer van een leverancier aanpassen, ook de directeur zelf niet. Juist dat “ook de directeur niet” maakt de afspraak waterdicht: er bestaat dan geen legitiem scenario meer waarin de spoedvraag van de baas buiten de procedure om kan.
3. Spreek een codewoord af. Voor echte noodgevallen waarin de directie telefonisch iets ongebruikelijks vraagt: een vooraf afgesproken woord of wedervraag die een buitenstaander niet kan kennen. Simpel, gratis, en bestand tegen voice cloning.
4. Regel een meldroute zonder schaamte. Wie een verdachte mail meldt — of toegeeft er bijna in te zijn getrapt — moet daar een compliment voor krijgen, geen gesprek met HR. Een organisatie waar melden veilig voelt, ziet aanvallen vroeg; een organisatie die fouten afstraft, hoort het pas van de bank.

Deze afspraken werken omdat ze het script van de aanvaller breken op het punt waar het kwetsbaar is: de druk om alleen en snel te handelen. Waarom die druk zo goed werkt op normale, capabele mensen, lees je bij social engineering; wat de mens als verdedigingslinie verder inhoudt, staat op de homepage.

Signaal gezien? Dit doe je

Veelgestelde vragen over CEO-fraude