Zakelijke e-mail als doelwit: hoe Brabantse ondernemers ceo- en factuurfraude voorkomen

Op 13 oktober deed de politie Zeeland-West-Brabant mee aan de actiedag Echt Niet Vandaag!, samen met CyberConnect en PVO regio Zeeland West-Brabant. Er stonden ruim 75 activiteiten op het programma, van phishingstands op straat tot voorlichting op scholen, en het midden- en kleinbedrijf kreeg nadrukkelijk extra aandacht. Volgens de politie worden in Zeeland-West-Brabant elke dag 53 mensen slachtoffer van digitale criminaliteit, een cijfer uit 2023, terwijl maar ongeveer twee op de tien slachtoffers aangifte doen.

Voor ondernemers loopt een van de duurste vormen van die criminaliteit via een kanaal dat de hele dag openstaat: de mailbox.

Waarom de zakelijke mailbox zo aantrekkelijk is

In de mailbox van een bedrijf komen facturen binnen, gaan betaalopdrachten rond en bevestigen leveranciers hun bankgegevens. Wie daar kan meelezen of zich geloofwaardig kan voordoen als een van de afzenders, hoeft niet in te breken in een boekhoudsysteem. Een overtuigend bericht op het juiste moment is genoeg.

Veel kleinere bedrijven werken nog met een gratis privéadres voor hun bedrijfscorrespondentie, of met een eigen domeinnaam waarvan niemand precies weet hoe de mail is ingericht. Dat maakt het oplichters makkelijk. Een vergelijkbaar gratis adres is in een paar minuten aangemaakt, en een domein zonder goede beveiliging is eenvoudiger na te bootsen. Een zakelijke email op een eigen domeinnaam, met tweestapsverificatie voor elke medewerker, versleutelde berichten en goed ingestelde domeinbeveiliging, maakt het een stuk lastiger om uw bedrijf na te doen of een account over te nemen.

Die domeinbeveiliging bestaat uit drie technische instellingen met de namen SPF, DKIM en DMARC. Samen laten ze ontvangende mailservers controleren of een bericht echt van uw domein komt, en wat er moet gebeuren als dat niet zo is. Uw hostingpartij of IT-leverancier kan in een paar minuten vertellen of ze actief zijn. Ze beschermen alleen niet tegen een domeinnaam die net één letter afwijkt, en ook niet tegen een mailbox die al door een crimineel is overgenomen. Daarvoor zijn afspraken binnen het bedrijf nodig.

Zo werken ceo-fraude en factuurfraude

Bij ceo-fraude doet een crimineel zich voor als directeur of leidinggevende en vraagt een medewerker om snel een betaling te doen. De politie beschrijft in haar uitleg over wat ceo-fraude is hoe de oplichter daarbij een urgente situatie schetst, zoals een overname die geheim moet blijven of een betaling aan een belangrijke klant, en vraagt om de gewone betaalprocedure over te slaan. Het geld komt dan op een rekening van de crimineel terecht. Een variant is het verzoek om cadeaukaarten te kopen en de codes door te sturen.

Factuurfraude werkt vanaf de andere kant. Hier lijkt het bericht van een vaste leverancier te komen, die meldt dat hij van bank is gewisseld en vraagt om openstaande facturen voortaan op een nieuw rekeningnummer te betalen. Soms gebruikt de oplichter een nagemaakt adres, maar het gebeurt ook dat de mailbox van de leverancier zelf is gehackt. Het bericht komt dan van het echte adres, past in een lopend gesprek en gaat door alle technische controles heen.

Wat beide vormen gemeen hebben, is druk. Er moet snel betaald worden, het moet stil blijven of de normale controle is ineens niet nodig. Juist dat afwijkende gedrag is het beste signaal om even stil te staan.

Afspraken die meer opleveren dan techniek

De meest effectieve maatregel kost niets: bel bij elke wijziging van bankgegevens of elk ongebruikelijk betaalverzoek terug naar een telefoonnummer dat u al kende, uit een contract, een eerdere factuur of uw eigen contactenlijst. Gebruik nooit het nummer dat in het verdachte bericht zelf staat.

Spreek daarnaast af dat grotere betalingen altijd door twee mensen worden goedgekeurd, ook als de directeur er zelf om vraagt. Wanneer dat een vaste regel is die iedereen kent, voelt een medewerker zich niet ongemakkelijk om een verzoek van de baas te controleren. Leg ook vast dat betaalopdrachten nooit alleen per e-mail worden gegeven.

Controleer verder af en toe de instellingen van de mailboxen in het bedrijf. Criminelen die een account hebben overgenomen, stellen soms een regel in die berichten automatisch doorstuurt of in een map laat verdwijnen, zodat ze ongemerkt kunnen meelezen. Een onbekende doorstuurregel is een duidelijk teken dat er iets mis is.

Toch slachtoffer geworden?

Snelheid is dan het belangrijkste. Neem direct contact op met uw bank, want een transactie kan soms nog worden tegengehouden als u er snel bij bent. Doe daarna aangifte bij de politie en meld de fraude bij de Fraudehelpdesk. 112Brabant zette eerder dit jaar op een rij waar u op moet letten bij online transacties, en die eerste stappen gelden voor ondernemers net zo goed als voor particulieren.

Bewaar de verdachte e-mail zonder hem te verwijderen of door te sturen, want de technische gegevens erin kunnen bij het onderzoek helpen. Wijzig de wachtwoorden van de betrokken accounts, controleer de doorstuurregels en waarschuw de leverancier of klant uit wiens naam de mail leek te komen. Als diens mailbox is gehackt, krijgen andere bedrijven waarschijnlijk hetzelfde verzoek.