CEO-fraude: hoe herkent u in 30 seconden een valse baas die een dringende overschrijving vraagt?
Vijf signalen verraden een valse baas: dringendheid, geheimhouding, een ongewone vraag, een onbekende rekening en een kanaal dat u niet kunt controleren. Zodra er twee samenkomen, betaalt u niet: u belt de persoon terug op het nummer dat u al kent, nooit op dat uit het bericht. Een dubbele handtekening voor grote bedragen en een vooraf aangeduide vertrouwenspersoon sluiten het grootste deel van de deur.
Het scenario in het kort
Voorbeeld, verzonnen ter illustratie. Op een vrijdag om 16.40 uur krijgt de administratief verantwoordelijke van een medische praktijk een mail van de arts die de praktijk leidt. Hij zit op een congres, kan niet bellen en vraagt een overschrijving van 38.000 euro “vóór maandag” om een beeldvormingstoestel te reserveren. De laatste regel: “Hou het stil, ik wil het team niet ongerust maken.”
De mail draagt zijn naam, zijn handtekening, zijn manier van schrijven. Alleen het adres verschilt, met één letter. Tien minuten later belt een “juridisch adviseur” om de vraag te bevestigen en voert hij de druk op. De rekening van de begunstigde staat in het buitenland.
Dit is CEO-fraude, ook wel directeursfraude of oplichting door een valse baas genoemd. Het goede nieuws: ze volgt bijna altijd hetzelfde scenario. Wie weet waarop hij moet letten, herkent ze in minder dan een minuut.
Hoe de oplichting in elkaar zit
De Belgische bankenfederatie Febelfin beschrijft een voorbereiding in verschillende stappen. Niets wordt aan het toeval overgelaten:
- De verkenning. De oplichters zoeken uit wie kan betalen en hoe betalingen worden goedgekeurd. Ze bellen of mailen en doen zich voor als auditor, bedrijfsrevisor of overheidsdienst.
- De valse identiteit. Ze schrijven de persoon die de betalingen doet en doen zich voor als de zaakvoerder: ofwel vanuit zijn echte, gehackte mailbox, ofwel vanuit een bijna identiek adres, vaak met één letter verschil.
- De enscenering. Een groot bedrag moet dringend en in het grootste geheim worden overgeschreven. Soms “bevestigt” een valse advocaat of een vals adviesbureau de vraag.
- Het verdwijnen. Het geld komt op de rekening van een “geldezel”, iemand die zijn rekening uitleent, en vertrekt meteen weer naar de rekeningen van de fraudeurs.
Het voorwendsel is goed verzorgd. KBC noemt de overname van een bedrijf of een belastingcontrole, met een grote overschrijving die in het geheim en dringend moet gebeuren, meestal naar een rekening in het buitenland. Twijfelt de medewerker, dan speelt de oplichter met gezag of vleierij en noemt hij belangrijke namen om de druk op te voeren.
De meest gedetailleerde cijfers over de omvang komen uit de Verenigde Staten. In 2024 ontving de FBI 21.442 klachten over dit soort fraude via mail, goed voor ongeveer 2,77 miljard dollar aan aangegeven verliezen (IC3-rapport 2024). Alleen beleggingsfraude kost nog meer.
De 5 signalen die u in 30 seconden herkent
Voor u de bankapp opent, toetst u de vraag aan deze lijst. Ze bundelt de waarschuwingssignalen die Febelfin en KBC beschrijven.
| Signaal | Wat u ziet | Wat u doet |
|---|---|---|
| 1. Dringendheid | “Vóór vanavond”, “vóór maandag”, “het blokkeert alles” | Vertragen: een echt dringende zaak kan een telefoontje van twee minuten wachten |
| 2. Geheimhouding | “Hou het stil”, “zeg het aan niemand, ook niet aan de boekhouder” | Er net wel over praten, met de vertrouwenspersoon |
| 3. Het ongewone | Een bedrag, een reden of een procedure die u nooit eerder zag | Vergelijken met de gewone betalingen |
| 4. De onbekende rekening | Een nieuwe begunstigde, vaak in het buitenland, of een “nieuw rekeningnummer” | Nooit betalen aan een onbekende rekening op basis van één bericht |
| 5. Het kanaal dat u niet kunt controleren | Alleen mail, een privéchat, “ik zit in vergadering, bel me niet” | Terugbellen op het nummer dat u al kent |
Eén signaal zegt niet veel: echte spoedgevallen bestaan ook. Maar zodra twee signalen samenkomen, is de regel eenvoudig: u stopt en controleert, zonder uitzondering, welke naam er ook onder het bericht staat.
Het bijna identieke adres
Kijk naar het deel na het apenstaartje, de domeinnaam: dat is het adres van het bedrijf op het internet. Een “rn” in plaats van een “m”, een extra koppelteken, “.com” in plaats van uw gewone extensie: vaak is dat het enige zichtbare spoor. Febelfin raadt aan die domeinnaam altijd na te kijken.
Maar als de echte mailbox van de zaakvoerder gehackt is, klopt het adres perfect. Daarom is terugbellen belangrijker dan goed kijken.
De gouden regel: niet antwoorden, terugbellen
Alle officiële bronnen raden hetzelfde aan: controleren via een ander kanaal dan dat van het bericht. Febelfin raadt aan de aanvrager terug te bellen op een nummer dat u kent. KBC voegt eraan toe: vertrouw niet op een vraag via mail of telefoon, en bel zelf een gekend vast nummer.
- Het juiste nummer: dat uit uw adresboek of de interne telefoonlijst. Nooit het nummer in de mail of in de handtekening.
- Het juiste moment: vóór de betaling. Een vertrokken overschrijving is moeilijk terug te halen.
- De juiste vraag: “Heb jij me gevraagd om 38.000 euro over te schrijven naar die rekening?” Niet “Ben jij het echt?”, want daarop zegt een oplichter altijd ja.
- Neemt niemand op: dan wacht u. Geen enkele serieuze zaakvoerder neemt het iemand kwalijk dat hij eerst controleerde en pas dan betaalde.
De stem of de video van de baas volstaan niet meer
Febelfin zegt het zwart op wit: fraudeurs gebruiken steeds vaker artificiële intelligentie om een stem of een beeld na te bootsen, in een oproep, een spraakbericht of een videogesprek. Het advies: ook al lijkt de vraag echt, controleer altijd via een vertrouwd kanaal.
De FBI rekent telefoonnummers en apps voor videovergaderingen trouwens uitdrukkelijk tot de kanalen die voor dit soort fraude misbruikt worden, niet alleen mail (definities in het IC3-rapport).
Onthoud dit: een inkomende oproep bewijst niets, zelfs als het juiste nummer verschijnt. Febelfin wijst erop dat oplichters een nummer kunnen “spoofen”. U belt zelf, op het nummer dat u al hebt.
De controle van de naam van de begunstigde: nuttig, niet voldoende
Een Europese verordening (2024/886) verplicht de banken in de eurozone voortaan om vóór een overschrijving in euro de naam die u intypt te vergelijken met de echte houder van de rekening (het IBAN). Febelfin beschrijft de mogelijke antwoorden:
- De naam stemt overeen: de overschrijving kan vertrekken.
- De naam stemt bijna overeen: de bank toont de geregistreerde naam, zodat u een tikfout kunt verbeteren.
- De naam stemt niet overeen: u krijgt een waarschuwing.
- De controle is niet mogelijk: de bank van de begunstigde heeft niet geantwoord, bijvoorbeeld door een technisch probleem.
Dat is een echte hulp tegen valse rekeningnummers. Maar Febelfin is duidelijk: u blijft zelf verantwoordelijk voor de overschrijvingen die u doet. En als de valse baas u de exacte naam van de rekeninghouder geeft, die van de geldezel, dan zegt de controle dat alles klopt. Een waarschuwing moet u tegenhouden. Dat er geen waarschuwing komt, bewijst niets. Let op: de controle geldt alleen voor overschrijvingen in euro naar een bank in de eurozone. Voor een rekening buiten de eurozone, of een overschrijving in een andere munt, controleert de bank niets.
Wat u deze week invoert
Deze maatregelen komen uit de aanbevelingen van Febelfin. Geen enkele vraagt budget, alleen een beslissing.
| Maatregel | Waarom | Wat het vraagt |
|---|---|---|
| Dubbele handtekening boven een vast bedrag | De tweede persoon zit niet in het verhaal en ziet de afwijking makkelijker | Een telefoontje naar uw bank |
| Een vertrouwenspersoon, niet de zaakvoerder | Elke dringende of vertrouwelijke vraag gaat langs die persoon; niemand buiten het bedrijf weet wie het is | Een beslissing en een interne nota |
| Ieder zijn eigen banktoegang | Nooit uw kaart en codes aan een collega geven: dan wordt de dubbele handtekening een enkele | Een vraag aan de bank |
| Een geschreven betalingsprocedure | Onverwachte betalingen en gewijzigde rekeningnummers gaan altijd langs dezelfde controle | Eén A4, overlopen met het team |
| Een sterkere aanmelding op de mailbox | Een code bovenop het wachtwoord maakt het moeilijker om de echte mailbox van de zaakvoerder te hacken | Een halve dag met uw IT-partner |
| Zwijgen over wie betaalt | Oplichters zoeken eerst uit wie kan betalen en hoe | Onbekenden hierover niets vertellen |
KBC raadt trouwens aan om niet te antwoorden op vragen van onbekenden over wie in uw bedrijf de betalingen doet: vaak is dat de eerste stap van de verkenning.
In een zorgpraktijk
De arts die de praktijk leidt, zit vaak in consultatie, in het operatiekwartier of van wacht: het excuus “ik kan je nu niet spreken” klinkt normaal. En wie de betalingen doet, zit soms alleen aan het onthaal, zonder collega om raad te vragen.
Leg vooraf schriftelijk een regel vast: geen enkele ongewone overschrijving zonder mondelinge bevestiging van de praktijkhouder, op zijn gewone nummer, ook als u moet wachten tot de consultaties voorbij zijn. De praktijkhouder engageert zich op zijn beurt om die regel nooit zelf te omzeilen.
Als de overschrijving al vertrokken is
Elk uur telt. Febelfin herinnert eraan: hoe sneller u uw bank verwittigt, hoe groter de kans dat u het geld terugkrijgt.
- Bel onmiddellijk de bank, op haar speciale fraudenummer, dat 24 uur op 24 bereikbaar is. Zij neemt contact op met de bank van de begunstigde om de overschrijving of de rekening te proberen blokkeren.
- Dien klacht in bij de politie, zoals Febelfin aanraadt.
- Verwittig uw IT-partner als de mailbox van de zaakvoerder gehackt kan zijn: de wachtwoorden moeten veranderd worden, want de fraudeurs hadden waarschijnlijk toegang tot veel informatie.
- Bewaar alle sporen: de mails (niet verwijderen), de telefoonnummers, de betalingsopdrachten.
Zoek ten slotte geen schuldige in het team. Wie erin is getrapt en het meteen zegt, laat geen kostbare uren verloren gaan. Wie bang is voor een sanctie, zwijgt, en het geld heeft de tijd om te verdwijnen.
Uw overschrijvingen beveiligen→
Veelgestelde vragen
Wat is CEO-fraude?
Het is oplichting waarbij een fraudeur zich voordoet als de zaakvoerder van het bedrijf, of als een vertrouwenspersoon, om een medewerker een dringende en vertrouwelijke overschrijving te laten doen. Het geld gaat naar de rekening van een “geldezel” en daarna naar de rekeningen van de fraudeurs. Het wordt ook directeursfraude of de oplichting met de valse baas genoemd.
Hoe controleer ik een dringende vraag om een overschrijving van mijn baas?
Bel hem zelf terug op het nummer dat u al kent, nooit op het nummer in het bericht. Stel een precieze vraag over het bedrag en de rekening. Is hij onbereikbaar, wacht dan: een echte vraag kan best een paar uur wachten.
Beschermt de controle van de naam van de begunstigde mij voldoende?
Nee. Ze meldt het als de ingetypte naam niet overeenstemt met de houder van de rekening, wat helpt tegen valse rekeningnummers. Maar als de oplichter u de exacte naam geeft van de houder van de rekening die hij gebruikt, klopt alles. En u blijft zelf verantwoordelijk voor de overschrijvingen die u doet.
Wat doen we als we een valse baas al betaald hebben?
Bel onmiddellijk uw bank, op haar fraudenummer dat 24 uur op 24 bereikbaar is, om de overschrijving te proberen blokkeren. Dien klacht in bij de politie, laat de wachtwoorden veranderen als de mailbox van de zaakvoerder gehackt kan zijn en bewaar alle sporen.
Is een kleine kmo of een medische praktijk echt een doelwit?
Ja. Febelfin zegt het: elke onderneming kan slachtoffer worden van fraude. Een kleine structuur, waar één persoon de betalingen doet en de zaakvoerder vaak onbereikbaar is, is zelfs een makkelijk doelwit. Een dubbele handtekening en een terugbelregel sluiten het grootste deel van de deur.