TL;DR: CEO-fraude (ook wel Business Email Compromise of BEC) is de duurste vorm van cybercrime wereldwijd. Geen malware, geen technische hack, gewoon een overtuigende mail van “de directeur” met een urgent verzoek. Dit artikel legt uit hoe het werkt, waarom het zo effectief is en hoe je je organisatie traint om het te herkennen met phishing simulaties.
Een mail van de directeur
Vrijdagmiddag, kwart voor vijf. De financial controller krijgt een mail van de CEO. Onderwerp: “Vertrouwelijk – graag snel handelen.” De mail is kort. Zakelijk. De toon klopt.
“Hi Sandra, ik zit in een meeting en kan niet bellen. We moeten vandaag nog een betaling doen aan een nieuwe partner. Het is vertrouwelijk, bespreek het niet met anderen. Kun je 42.000 euro overboeken naar dit rekeningnummer? Ik stuur de factuur maandag.”
Sandra kent de CEO. De schrijfstijl lijkt te kloppen. Het bedrag is hoog maar niet ongewoon. Het is vrijdagmiddag, er is haast. Ze boekt over.
Maandag vraagt ze de CEO naar de factuur. Hij weet van niets. Het geld is weg.
Dit is CEO-fraude. En het gebeurt vaker dan je denkt.
Wat is Business Email Compromise?
Business Email Compromise is een vorm van social engineering waarbij een aanvaller zich voordoet als iemand met autoriteit binnen de organisatie. Meestal de CEO, directeur of CFO, maar soms ook een leverancier, advocaat of externe accountant.
Geen bijlage met malware. Geen link naar een nagemaakte website. Gewoon tekst. Een verzoek dat plausibel klinkt, met precies genoeg urgentie en vertrouwelijkheid om de ontvanger te laten handelen zonder te verbeteren.
Het FBI’s Internet Crime Complaint Center (IC3) rapporteert dat BEC-aanvallen wereldwijd goed zijn voor meer dan 50 miljard dollar aan schade sinds 2013. In Nederland schat de politie de jaarlijkse schade op tientallen miljoenen euro’s. Dat maakt het veruit de duurste vorm van cybercrime, duurder dan ransomware.
Hoe het werkt
Een BEC-aanval heeft meestal drie fases.
Fase 1: onderzoek
De aanvaller verzamelt informatie. LinkedIn profielen van directieleden. De organisatiestructuur. Wie zit er op finance? Wie tekent voor betalingen? Welke leveranciers worden gebruikt? Staan er persberichten over overnames of samenwerkingen?
Dit is geen willekeurig schieten. BEC-aanvallers investeren uren tot dagen in hun doelwit. Hoe meer ze weten, hoe overtuigender de mail.
Fase 2: impersonatie
De aanvaller maakt een e-mailadres aan dat lijkt op dat van de CEO. Soms een lookalike-domein ([email protected] vs. [email protected], met een ‘r’ en ‘n’ die op een ‘m’ lijken). Soms een gratis e-mailadres met de naam van de CEO in het display name. Soms een echt gehackt account.
De mail is kort, persoonlijk en urgent. Drie kenmerken die steeds terugkomen:
- Autoriteit: Het verzoek komt van iemand boven je in de hierarchie.
- Urgentie: Het moet vandaag. Nu. Voor het weekend.
- Vertrouwelijkheid: “Bespreek het niet met anderen.” Dit voorkomt dat de ontvanger gaat verbeteren bij collega’s.
Fase 3: uitvoering
Het verzoek is bijna altijd financieel. Een betaling naar een nieuw rekeningnummer. Een gewijzigd IBAN van een bestaande leverancier. Soms het doorsturen van gevoelige informatie: salarisgegevens, klantgegevens of inloggegevens.
De bedragen variëren van een paar duizend tot miljoenen euro’s. De aanvaller weet precies welk bedrag plausibel is voor de organisatie. Te laag is het de moeite niet waard. Te hoog triggert extra controles.
Vijf varianten die je moet kennen
| Variant | Wie doet zich voor als | Wat wordt gevraagd |
|---|---|---|
| CEO-fraude | CEO/directeur | Spoedoverboeking naar “vertrouwelijke” partij |
| Factuurfraude | Bekende leverancier | “Ons IBAN is gewijzigd, gebruik dit nieuwe nummer” |
| Salarisfraude | Medewerker (naar HR) | “Mijn rekeningnummer is gewijzigd voor salarisuitbetaling” |
| Advocaat-impersonatie | Externe advocaat/accountant | “Vertrouwelijke betaling ivm lopende zaak” |
| Data-exfiltratie | CEO of HR-directeur | “Stuur me de salarisoverzichten van alle medewerkers” |
De factuurfraude-variant is in Nederland bijzonder wijdverbreid. Aanvallers sturen een mail die eruitziet als een bestaande leverancier met het verzoek om het IBAN aan te passen. Als finance niet belt om te verbeteren, is het geld weg bij de volgende betaalronde.
Waarom het zo effectief is
CEO-fraude speelt in op drie psychologische mechanismen die diep verankerd zitten.
Gehoorzaamheid aan autoriteit. Als je baas iets vraagt, doe je het. Dat is niet dom, dat is menselijk. Het Milgram-experiment bewees het in 1963 en er is sindsdien weinig veranderd.
Tijdsdruk onderdrukt kritisch denken. “Het moet vandaag nog” schakelt de analytische kant van je brein uit. Je gaat in actie-modus. Verbeteren voelt als vertraging, niet als voorzichtigheid.
Vertrouwelijkheid isoleert het slachtoffer. “Bespreek het niet met anderen” is de dodelijkste zin in de hele mail. Het voorkomt het enige dat de fraude zou stoppen: even checken bij een collega.
Geen spamfilter ter wereld vangt dit. Er is geen malware, geen verdachte link, geen bijlage. Het is puur tekst met sociale manipulatie. De enige verdediging is een medewerker die het herkent.
Herkenningssignalen trainen
Dit zijn de rode vlaggen die medewerkers moeten leren herkennen:
- Ongewoon kanaal. De CEO mailt normaal niet rechtstreeks naar finance. Waarom nu wel?
- Urgentie + vertrouwelijkheid. Die combinatie is bijna altijd een rode vlag. Echte vertrouwelijke verzoeken gaan via bestaande kanalen.
- Nieuw rekeningnummer. Elke wijziging van bankgegevens moet via een apart verificatieproces lopen. Altijd.
- Druk om niet te verbeteren. “Bel me niet, ik zit in een meeting.” Dat is geen zakelijk verzoek, dat is een instructie om de controle over te slaan.
- Afwijkend e-mailadres. Controleer het volledige adres, niet alleen de weergavenaam. De naam kan “Jan de Vries – CEO” zeggen terwijl het adres [email protected] is.
Simuleren en trainen
Kennis alleen is niet genoeg. Medewerkers die in een cursus leren over CEO-fraude herkennen het niet automatisch als het op een vrijdagmiddag in hun inbox ligt. Oefening maakt het verschil.
BEC-scenario’s kun je simuleren met een phishing simulatietool. Kies het scenario (spoedoverboeking, IBAN-wijziging, data-verzoek), de vermeende afzender en de moeilijkheidsgraad.
Na de simulatie krijgen medewerkers die erin trappen een gerichte training. Denk aan BEC-bewustwording voor management, factuurfraude-herkenning voor finance en IBAN-verificatieprocedures.
Procesmatige verdediging
Training is essentieel, maar niet voldoende. Je hebt ook processen nodig die het moeilijk maken om CEO-fraude succesvol uit te voeren, zelfs als iemand erin trapt.
- Vier-ogen-principe bij betalingen. Geen enkele betaling boven een drempelbedrag mag door een persoon worden geautoriseerd.
- Verificatieprocedure bij IBAN-wijzigingen. Bel de leverancier op een bekend telefoonnummer (niet het nummer uit de mail) om elke wijziging te bevestigen.
- Geen uitzonderingen voor de CEO. Juist de directie moet aan hetzelfde proces voldoen. “Maar het kwam van de CEO” mag nooit een reden zijn om een stap over te slaan.
- Terugroepperiode bij grote bedragen. Stel een wachttijd in voor betalingen boven een bepaald bedrag. 24 uur vertraging kan 42.000 euro redden.
Wie moet je trainen?
CEO-fraude raakt niet iedereen gelijk. De meest kwetsbare groepen:
Finance en administratie. Zij voeren de betalingen uit. Factuurfraude en spoedboeking-verzoeken richten zich bijna altijd op deze afdeling.
Management assistenten. Ze handelen namens de directie en hebben vaak mandaat om dingen te regelen zonder extra goedkeuring.
HR. Salarisfraude en verzoeken om personeelsgegevens richten zich op HR.
De directie zelf. Niet als doelwit, maar als bewustmaker. Als de CEO begrijpt hoe z’n naam misbruikt wordt, steunt hij de investering in awareness. En onder NIS2 is er een expliciete trainingsplicht voor bestuurders.
De kosten van niets doen
CEO-fraude is niet hypothetisch. Het is de meest voorkomende vorm van gerichte cybercrime in Nederland. De bedragen variëren van duizenden tot miljoenen. Pathé verloor in 2018 19,2 miljoen euro aan CEO-fraude. Een Nederlandse tandartspraktijk-keten raakte in 2023 ruim 100.000 euro kwijt. Het overkomt grote en kleine organisaties.
Het probleem met BEC: er is geen technische oplossing die het volledig voorkomt. De mail bevat geen malware. De link (als die er al is) kan legitiem zijn. De enige verdediging is een combinatie van bewuste medewerkers en goede processen.
Beide beginnen bij training. En training werkt het best als je het combineert met realistische simulaties.