Deepfake-fraude: als de stem van je directeur nep is

Hoe de aanval eruitziet

Het script is dat van klassieke CEO-fraude, met één upgrade: het kanaal. Waar de aanvaller vroeger een mail stuurde “namens de directie”, belt hij nu, of stuurt hij een spraakbericht. Een medewerker van de financiële afdeling krijgt een telefoontje: de stem van de algemeen directeur, herkenbaar tot in de intonatie, met een vertrouwd verhaal. Er loopt een overname die nog vertrouwelijk is, er moet vandaag een aanbetaling de deur uit, en het mag met niemand besproken worden. Het nummer is onbekend of afgeschermd, maar daar is een verklaring voor: hij belt vanaf de telefoon van de advocaat.

Soms is het telefoontje niet eens het hoofdkanaal maar de versterker: eerst komt een mail met het verzoek, daarna belt “de directeur” kort om het te bevestigen. Juist die combinatie is verraderlijk, omdat het belletje voelt als de verificatie die je zelf had willen doen. De aanvaller heeft jouw controlemoment ingebouwd in zijn eigen script.

Waarom je oor zo makkelijk te misleiden is

Stemherkenning is bij mensen geen analyse maar een gevoel. Je vergelijkt niet bewust frequenties; je hersenen geven een seintje “dit is hem” en dat seintje voelt als zekerheid. Precies daarom werkt de aanval: het gevoel van herkenning komt vóór elke rationele afweging en kleurt alles wat daarna gezegd wordt. Wie eenmaal “weet” dat hij zijn directeur aan de lijn heeft, hoort de rest van het gesprek door die bril.

Tel daar de context bij op die de aanvaller meelevert: tijdsdruk (“dit moet vóór sluitingstijd van de bank”), vertrouwelijkheid (“er mag niets uitlekken, ook niet intern”) en gestreeldheid (“ik vraag dit aan jou omdat ik je vertrouw”). Die laatste is de gemeenste van de drie: wie zich uitverkoren voelt, wil dat vertrouwen niet beschamen door moeilijk te doen. En de vertrouwelijkheidseis snijdt ondertussen precies de mensen weg die je zouden kunnen behoeden: je collega en je leidinggevende.

Het codewoord en de terugbel-afspraak

Tegen een nagemaakte stem helpt geen beter luisteren. Wat wél helpt, zijn twee afspraken die je vooraf maakt, in koele rust, zodat ze er al liggen als de druk komt.

1. Spreek een codewoord af. De directie en iedereen die betalingen of gevoelige gegevens kan vrijgeven, spreken een woord of wedervraag af die nergens digitaal staat: niet in de mail, niet in een document, alleen mondeling gedeeld. Elk ongebruikelijk verzoek via telefoon of spraakbericht wordt beantwoord met de vraag om het codewoord. Een echte directeur noemt het; een kloon kan het niet kennen.
2. Maak de terugbel-regel absoluut. Bij elk verzoek om geld of vertrouwelijke informatie hang je op en bel je terug via het nummer dat in het interne adresboek staat, nooit via het nummer waarmee gebeld werd of dat in een bericht staat. Geen uitzondering voor haast, geen uitzondering voor vertrouwelijkheid: juist die twee zijn de rode vlaggen.
3. Laat de directie de regel zegenen. De afspraak werkt alleen als de top hardop zegt: wie mij terugbelt om mijn eigen verzoek te controleren, krijgt een compliment. Eén keer geïrriteerd reageren op een controle-belletje en de hele afspraak is dood.
4. Oefen het één keer. Laat de directeur zelf een keer met spoedstem bellen en kijk of de afspraak houdt. Een afspraak die nooit geoefend is, bestaat alleen op papier.

Wat dit níét betekent

Twee misverstanden wil ik wegnemen. Ten eerste: dit betekent niet dat je elke beller moet wantrouwen of dat telefonisch overleg onbruikbaar is geworden. Gewone gesprekken, afstemming, vragen: allemaal prima zonder protocol. De afspraken gelden alleen voor de smalle categorie verzoeken waar geld, toegang of vertrouwelijke gegevens mee gemoeid zijn. Dat is een handvol momenten per maand, geen permanente staat van achterdocht.

Ten tweede: dit is geen technologiewedloop die je moet winnen door deepfakes te leren horen. Misschien hoor je vandaag nog een haperinkje of een vlakke intonatie; reken er niet op dat dat zo blijft, en bouw er vooral geen beleid op. De verdediging die houdbaar is, leunt niet op het herkennen van de vervalsing maar op het omzeilen ervan: een tweede kanaal en gedeelde kennis die niet te klonen valt. Dezelfde logica beschermt je tegen elke vorm van social engineering, met of zonder kunstmatige stem.

Morgen op de agenda

Zet drie punten op de agenda van het eerstvolgende MT- of teamoverleg. Eén: welk audio- en videomateriaal van onze bestuurders staat openbaar online, zodat iedereen beseft hoe klein de drempel is. Twee: het codewoord vaststellen en mondeling delen met de mensen die betalingen en gegevens kunnen vrijgeven. Drie: de terugbel-regel formeel maken, inclusief de zin van de directie dat controleren altijd goed is. Drie agendapunten, één vergadering, en “ik herkende zijn stem” is in jouw organisatie geen kwetsbaarheid meer maar een anekdote.