Valse stem, valse video: hoe verijdelt u CEO-fraude met AI?

Het scenario in het kort

Voorbeeld, verzonnen ter illustratie. Op een donderdag laat in de namiddag krijgt de boekhoudster van een fictieve kmo met twintig medewerkers een spraakbericht van de zaakvoerder. Het is zijn stem, zijn accent, zijn manier van ‘luister eens’ zeggen. Hij legt uit dat hij over een overname onderhandelt, dat het vertrouwelijk is en dat hij haar over vijf minuten via video zal bellen.

Het gesprek komt binnen. Het gezicht van de zaakvoerder verschijnt, het beeld hapert een beetje: ‘ik zit op de trein, de verbinding is slecht’. Hij vraagt een overschrijving van € 45.000 naar een advocatenkantoor, vóór 17 uur, zonder er iemand iets over te zeggen. De boekhoudster aarzelt en denkt dan aan de regel die boven haar bureau hangt: ze hangt op en belt de zaakvoerder terug op zijn gewone nummer. Hij zit in een afspraak bij een klant en heeft nooit gebeld. Het bedrag en de details zijn verzonnen.

Dit scenario is helemaal niet overdreven. Het is een kleinere versie van wat Belgische en buitenlandse autoriteiten de voorbije jaren hebben beschreven.

De valse koning Filip: de waarschuwing van januari 2026

Op 24 januari 2026 maakten het federaal parket en het Centrum voor Cybersecurity België (CCB) bekend dat een bende zich al meer dan een jaar voordeed als koning Filip, zijn kabinetschef en een generaal-majoor. Volgens Paris Match Belgique en BX1, die zich op het parket baseren, waren de doelwitten buitenlandse hoogwaardigheidsbekleders, Belgische families en bedrijfsleiders, gekozen omdat ze mogelijk banden hebben met de koninklijke familie.

• De kanalen: telefoon, WhatsApp en e-mail.
• Het voorwendsel: geld inzamelen om Belgische journalisten vrij te krijgen die zogezegd in Syrië gegijzeld worden.
• Het nieuwe van januari 2026: bedrijfsleiders werden uitgenodigd voor een videogesprek met de koning, met beelden die volgens het parket ‘waarschijnlijk door artificiële intelligentie gegenereerd’ zijn.
• Een variant: valse uitnodigingen voor een galadiner van de Koning Boudewijnstichting, met de vraag om een bijdrage. De Stichting reageerde dat elke oproep van dat soort frauduleus is.
• Het resultaat: de meeste mensen doorzagen het bedrog snel, maar er werd wel degelijk één overschrijving uitgevoerd.

Onthoud vooral de werkwijze: de oplichters kiezen hun doelwitten zorgvuldig, gebruiken een gezag dat men niet durft tegen te spreken en voegen er dan beeld en stem aan toe om elke twijfel weg te nemen. Dat is precies het recept van CEO-fraude.

Wat AI verandert aan CEO-fraude

Bij CEO-fraude doet iemand zich voor als de leider van een bedrijf, of als een vertrouwenspersoon, om een medewerker een dringende en geheime betaling te laten doen. Tot nu toe ging dat vooral via een valse e-mail. Febelfin, de federatie van de Belgische financiële sector, stelt in haar brochure van 2026 vast dat fraudeurs steeds vaker artificiële intelligentie gebruiken ‘om een stem of beeld na te bootsen (telefoongesprek, spraakbericht, videocall)’.

Men spreekt van een deepfake: een video, foto of opname die door AI is gemaakt of bewerkt om iemand iets te laten zeggen of doen wat hij nooit gezegd of gedaan heeft. Om een bedrijfsleider na te bootsen, zijn opnames van zijn stem en zijn gezicht nodig. Interviews, video's op sociale media, webinars, welkomstberichten: bij veel kmo-bedrijfsleiders staat dat materiaal al online.

Het bekendste geval blijft dat van de ingenieursgroep Arup in Hongkong. Volgens de politie van Hongkong, geciteerd door CNN, schreef een medewerker van de financiële afdeling 200 miljoen Hongkongse dollar over, ongeveer 25,6 miljoen Amerikaanse dollar, in 15 overschrijvingen, na een videogesprek met een valse financieel directeur en valse collega's. Arup bevestigde dat er valse stemmen en beelden waren gebruikt.

Waarom fouten in het beeld zoeken niet meer volstaat

Men leest vaak dat u moet letten op slecht gesynchroniseerde lippen, een starre blik of vreemde schaduwen. Dat is nuttig, maar het is een strijd die u op voorhand verliest: de tools worden voortdurend beter, en de oplichter heeft altijd een kant-en-klaar excuus, zoals een slechte verbinding of een gesprek vanuit de auto.

Febelfin vat het samen in een eenvoudig advies: ook al lijkt het verzoek echt, controleer het altijd via een vertrouwd kanaal, want met AI kan tegenwoordig zelfs een CEO worden geïmiteerd. Met andere woorden: niet uw oog beschermt u, maar uw procedure. Een perfecte stem mag nooit volstaan om geld te laten vertrekken.

De signalen die u even moeten doen stilstaan, zijn bijna altijd dezelfde, met of zonder AI:

• De dringendheid: ‘vóór 17 uur’, ‘vóór de afsluiting’, ‘het is een kwestie van uren’.
• De geheimhouding: ‘zeg er niemand iets over, zelfs niet tegen je verantwoordelijke’.
• De uitzondering: een nieuwe begunstigde, een rekening in het buitenland, een procedure die u ‘voor één keer’ moet omzeilen.
• Het gezag: de baas, een hooggeplaatste persoon, een bekend persoon, een advocaat of een auditor die aandringt.
• Het ongewone kanaal: een persoonlijk berichtenaccount, een onbekend nummer, een videogesprek dat zonder uitnodiging start.

De verdediging: zeven maatregelen voor maandagochtend

Geen enkele van deze maatregelen vraagt een tool of een budget. Ze vragen alleen dat iedereen, ook de bedrijfsleider, aanvaardt dat een betaling even wacht op een telefoontje.

1. Schrijf de regel op en hang hem uit: geen enkele betaling en geen enkele wijziging van bankrekening gebeurt op basis van alleen een telefoontje, een spraakbericht, een videogesprek of een e-mail, ook niet van de baas.
2. Hang op en bel terug. Bij elke dringende of vertrouwelijke vraag beëindigt u het gesprek en belt u de persoon terug op het nummer dat al in uw contacten stond, nooit op het nummer dat u krijgt.
3. Voer een dubbele goedkeuring in: boven een vastgelegd bedrag keuren twee personen elke betaling goed, en de dubbele handtekening ligt nooit in handen van één persoon, zoals Febelfin benadrukt.
4. Stel een aanspreekpunt aan dat niet de bedrijfsleider is, bij wie medewerkers terechtkunnen met een dringende of geheime vraag. Febelfin wijst erop dat niemand buiten het bedrijf mag weten wie die persoon is.
5. Spreek een controlevraag af met de mensen die betalen: een detail dat alleen u en zij kennen, dat u bij twijfel stelt en dat nooit in een e-mail of berichtenapp wordt genoteerd. Een imitator zal er moeilijk op kunnen antwoorden.
6. De bedrijfsleider engageert zich schriftelijk om nooit een geheime overschrijving te vragen. De dag dat ‘hij’ het toch doet, weet iedereen dat hij het niet is.
7. Beperk wat openbaar is: wie de betalingen doet, wie met verlof is, wie op verplaatsing is. Dat is de informatie die oplichters eerst verzamelen.

Leg deze regels in tien minuten uit op het volgende teamoverleg, met het verhaal van de valse koning Filip: dat blijft hangen en toont dat niemand veilig is.

In een zorgpraktijk

Het scenario laat zich makkelijk aanpassen, bijvoorbeeld: de valse stem van de titularis-arts die tijdens een congres de secretaresse zou bellen voor een ‘dringend’ voorschot op een toestel, of een valse leverancier in een videogesprek. De regel blijft dezelfde: terugbellen op het gekende nummer gaat vóór elke betaling, welk gezag de persoon op het scherm ook heeft.

Lossen de Europese regels het probleem op?

Niet voor de oplichters. Volgens de Europese Commissie schrijft de Europese AI-wet voor dat bepaalde door AI gegenereerde inhoud, waaronder deepfakes, duidelijk en zichtbaar moet worden geëtiketteerd. Die transparantieregels gelden sinds 2 augustus 2026. Dat is goed nieuws voor legitieme inhoud. Maar een fraudeur zal nooit een etiket op zijn valse video plakken: uw interne procedure blijft de echte bescherming.

U bent erin getrapt: de stappen in de juiste volgorde

Elk uur telt. Febelfin herinnert eraan dat de kans groter is dat het geld wordt teruggevonden als u de bank snel verwittigt.

1. Bel onmiddellijk uw bank om de fraude te melden en te vragen de overschrijving te blokkeren of terug te halen.
2. Dien klacht in bij de politie, met alle bewijzen: spraakberichten, schermafbeeldingen van het videogesprek, nummers, e-mails, overschrijvingsopdracht.
3. Verwittig uw IT-partner: als een mailbox werd gehackt om de oplichting voor te bereiden, moeten de wachtwoorden worden gewijzigd.
4. Meld de feiten op ConsumerConnect, de website van de FOD Economie die Febelfin aanbeveelt.
5. Zoek geen schuldige: de persoon die erin trapte, werd door professionals gemanipuleerd. Die moet er meteen over kunnen praten, zonder angst.

AI blijft een bondgenoot, op voorwaarde dat u de betalingen vergrendelt

Artificiële intelligentie bespaart veel bedrijven en praktijken tijd, en er is geen enkele reden om ze links te laten liggen. Het risico komt niet van de tool, maar van een organisatie waar één stem aan de telefoon volstaat om geld te laten vertrekken. Sluit die deur met enkele eenvoudige regels, en dan haalt zelfs de best geslaagde imitatie niets uit.

Uw betalingen beveiligen→