Factuurfraude: het gewijzigde rekeningnummer dat niemand checkte

Hoe crediteurenfraude in de praktijk loopt

De geraffineerde variant begint niet bij jou, maar bij je leverancier. De aanvaller verschaft zich toegang tot een mailbox daar, bijvoorbeeld via een gephisht wachtwoord, en doet vervolgens iets dat veel mensen niet verwachten: niets. Hij leest mee. Weken soms. Hij leert welke projecten er lopen, welke facturen eraan komen, wie bij jou de betalingen verwerkt en hoe de mails tussen beide bedrijven klinken.

Dan komt het moment: er staat een echte factuur op het punt verstuurd te worden, of hij is net verstuurd. De aanvaller stuurt vanuit de gekaapte mailbox, of vanaf een adres dat er één letter naast zit, een vervolgmailtje: “Excuus, ons rekeningnummer is gewijzigd; gebruik voor deze en volgende facturen graag het nieuwe nummer.” Soms zit er een aangepaste versie van de factuur bij, identiek aan de echte op het nummer na. Alles klopt, want alles ís echt, op de bestemming van het geld na. De timing is geen geluk; die is het product van al dat meelezen.

Waarom juist de AP-afdeling kwetsbaar is

Het is verleidelijk om na zo’n incident naar de medewerker te wijzen die de betaling verwerkte. Onterecht. Crediteurenadministraties zijn ingericht op volume en doorlooptijd: stapels facturen, deadlines voor betaalruns, leveranciers die bellen bij vertraging. In die omgeving is een mededeling over een gewijzigd rekeningnummer geen alarmsignaal maar een administratieve mutatie, eentje van de vele die week.

Daar komt bij dat de afwijking onzichtbaar is voor het oog. Een rekeningnummer is geen informatie die je “herkent” zoals een gezicht of een handtekening; niemand kent de nummers van leveranciers uit het hoofd. De enige plek waar de afwijking zichtbaar wordt, is in de vergelijking met het nummer in je eigen stamgegevens, en precies die vergelijking wordt door het wijzigingsmailtje omzeild: het vraagt immers om de stamgegevens aan te passen. De fraude valt dus niet op de werkvloer te zien; hij valt alleen door een proces te vangen.

Het vier-ogen-belprotocol

De verdediging tegen factuurfraude past op een A4 en kost per geval een paar minuten. De kern: een wijziging van betaalgegevens is nooit een mutatie die één persoon op basis van één mail doorvoert.

1. Markeer de trigger. Elke wijziging van rekeningnummer, tenaamstelling of betaalgegevens van een leverancier, hoe die ook binnenkomt (mail, telefoon, “aangepaste factuur”), gaat het protocol in. Geen uitzonderingen voor vaste leveranciers of kleine bedragen; juist vertrouwde relaties zijn het vehikel.
2. Bel terug via het oude kanaal. Eén medewerker belt de leverancier op het telefoonnummer dat al in de eigen administratie stond, of uit een eerder contract. Nooit het nummer uit de mail of van de nieuwe factuur, want bij een gekaapte mailbox of vervalste factuur is dat het nummer van de aanvaller. Vraag de contactpersoon expliciet: hebben jullie je rekeningnummer gewijzigd, en kun je het nieuwe nummer voorlezen?
3. Laat een tweede paar ogen vastleggen. Een tweede medewerker controleert dat het gebelde nummer uit de eigen administratie kwam en dat het bevestigde rekeningnummer overeenkomt met de wijziging, en legt beide vast bij de mutatie. Dat is het vier-ogen-deel: niet twee mensen die naar dezelfde mail kijken, maar twee mensen die elk een ander deel van de keten borgen.
4. Pas dan: doorvoeren. De wijziging gaat de stamgegevens in mét de verificatienotitie. Komt er geen telefonische bevestiging, dan blijft het oude nummer staan en wordt de leverancier via een bekend kanaal geïnformeerd dat er mogelijk iets mis is met zijn mailbox.

Let op het detail dat dit protocol draagt: terugbellen via gegevens die je al hád. Verificatie via informatie die de afzender zelf aanlevert, is geen verificatie; dan controleer je de aanvaller bij de aanvaller.

De cultuurkant: traag mogen zijn

Een protocol op papier sneuvelt in de praktijk op één ding: de druk om snel te betalen. Een “leverancier” die mailt dat de betaling echt deze week binnen moet zijn, een interne projectleider die aandringt omdat de levering anders stilvalt: dat is het moment waarop iemand het belprotocol “deze ene keer” overslaat. Hier raakt factuurfraude aan zijn grote broer, CEO-fraude: in beide gevallen is opgevoerde druk geen bijverschijnsel van het verzoek, maar een onderdeel van de aanval.

De financiële afdeling heeft daarom rugdekking nodig, hardop uitgesproken door het management: een betaling die een dag later gaat omdat het protocol werd gevolgd, is góéd werk, ook als de wijziging achteraf echt bleek. En andersom: wie het protocol overslaat, krijgt daar een gesprek over, óók als het toevallig goed afliep. Zonder die twee zinnen is elk protocol onderhandelbaar, en onderhandelbare protocollen verliezen het altijd van een aanvaller die de druk opvoert. Hoe die druk psychologisch werkt, lees je in het overzicht van social engineering.

Wat je deze maand regelt

Vier acties, in oplopende volgorde van moeite. Eén: check of er in je organisatie überhaupt een vaste route bestaat voor wijzigingen van betaalgegevens; vaak blijkt het “gewoon de mail doorsturen naar de administratie” te zijn. Twee: voer het belprotocol hierboven in en zet het op één A4 naast de betaalrun. Drie: informeer je vaste leveranciers dat jullie wijzigingen voortaan altijd telefonisch verifiëren, en vraag hun dat andersom ook te doen; daarmee bescherm je elkaar. Vier: bespreek één hypothetische casus in het teamoverleg van de administratie, inclusief de vraag “zou dit bij ons door de controle komen?” Het eerlijke antwoord op die vraag is het beste startpunt dat er is.