De telefoon gaat op de administratie. Het is de directeur. Hij zit in een bespreking bij een klant, klinkt gehaast en heeft een probleem: een leverancier dreigt een levering te blokkeren als er vandaag geen aanbetaling wordt gedaan. Of ze het even willen regelen, hij stuurt de gegevens per mail. En liever niet met iedereen bespreken, het is een gevoelige deal.
Het is zijn stem. Zijn manier van praten. Hij reageert op vragen, maakt zelfs het grapje dat hij altijd maakt. Alleen: het is hem niet. Het is software die zijn stem heeft gekloond uit een bedrijfsvideo van drie jaar geleden, en aan de andere kant zit iemand die precies weet wie in jouw bedrijf de betalingen doet.
Dit is deepfake voice phishing, de nieuwste vorm van wat al jaren CEO-fraude heet. En het richt zich niet op multinationals. Het richt zich op bedrijven waar één telefoontje genoeg is om een betaling in gang te zetten.
Van nepmail naar nepstem
CEO-fraude bestaat al lang. Klassiek verloopt het via e-mail: een bericht dat van de directeur lijkt te komen, met het verzoek om snel en discreet een betaling te doen. Wij schreven eerder over hoe je zulke nep-e-mails uit naam van je bedrijf herkent en tegenhoudt.
Wat er is veranderd, is de techniek. Met kunstmatige intelligentie kan een stem worden nagemaakt uit een fragment van enkele seconden. En die bronnen liggen voor het oprapen: een bedrijfsvideo op de website, een presentatie op LinkedIn, een podcast, een voicemailbegroeting. Het resultaat is geen opname die wordt afgespeeld, maar een stem die live meepraat en reageert op wat jij zegt.
De e-mail was al moeilijk te onderscheiden van echt. De stem is dat nog meer, omdat we een stem instinctief vertrouwen. Je hoort de directeur, dus het is de directeur.
Waarom juist het MKB
Grote organisaties hebben betaalprocessen met meerdere handtekeningen, aparte afdelingen en systemen die een afwijkende betaling automatisch tegenhouden. In een MKB-bedrijf is de lijn korter. De directeur belt, de administratie regelt het. Dat is precies de kortheid waar deze aanval op is gebouwd.
Daar komt bij dat alles wat een crimineel nodig heeft openbaar is. Wie de directeur is, wie de financiën doet, hoe het bedrijf zich presenteert: het staat op de website, in het Handelsregister en op LinkedIn. Soms is er meer. Als een mailbox eerder is overgenomen, bijvoorbeeld via een gelekt wachtwoord, heeft de aanvaller maandenlang kunnen meelezen hoe jullie betalingen bespreken, welke leveranciers er zijn en wanneer de directeur op reis is.
Het patroon dat altijd terugkomt
De techniek verandert, het script niet. Vrijwel elke vorm van CEO-fraude, per mail of per telefoon, bevat dezelfde vier ingrediënten.
- Urgentie. Het moet vandaag, liefst binnen het uur. Er is geen tijd om na te denken en dat is precies de bedoeling.
- Autoriteit. Het verzoek komt van iemand tegen wie je niet snel “nee” zegt: de directeur, een grote klant, de bank.
- Geheimhouding. Het is gevoelig, vertrouwelijk, nog niet bekend bij de rest. Dus bespreek het met niemand. Zo wordt de enige controle die je hebt, een collega, uitgeschakeld.
- Een afwijking. Een nieuw rekeningnummer, een leverancier die je niet kent, een bedrag dat buiten het normale valt, een betaalmethode die jullie nooit gebruiken.
Eén van deze vier is een reden om even op te letten. Twee of meer tegelijk is een reden om te stoppen.
Wat je team beschermt
Tegen een gekloonde stem helpt geen spamfilter. Wat wel helpt, is een klein aantal afspraken die iedereen kent en waar niemand van afwijkt, ook de directeur niet.
Terugbellen op een bekend nummer. Bij elk afwijkend of spoedeisend betaalverzoek: ophangen en terugbellen op het nummer dat al in je telefoon of adresboek staat. Nooit op een nummer dat de beller zelf geeft. Een echte directeur begrijpt dat. Een crimineel haakt af.
Het vier-ogenprincipe. Geen betaling boven een afgesproken bedrag, of naar een nieuw rekeningnummer, zonder dat een tweede persoon meekijkt. Niet omdat je collega’s niet vertrouwt, maar omdat twee mensen zelden tegelijk in dezelfde druk zitten.
Nieuwe rekeningnummers altijd controleren. Een leverancier die “een nieuw rekeningnummer” doorgeeft, bel je terug op het bekende nummer. Altijd. Dit is de meest voorkomende vorm van betaalfraude en de simpelste om te stoppen.
Geen uitzonderingen voor de baas. Als de directeur zelf de regels omzeilt “omdat het echt dringend is”, leert het team dat de regels niet gelden als iemand hard genoeg aandringt. En hard aandringen is precies wat een crimineel doet.
Oefenen voordat het echt gebeurt
Regels op papier zijn één ding. Of iemand ze toepast op het moment dat “de directeur” gehaast aan de lijn hangt, is iets anders. Dat leer je alleen door het mee te maken.
Daarom omvat onze security awareness training ook telefonische simulaties: een beller die zich voordoet als collega, leverancier of bank, met een stem die door AI wordt aangestuurd en reageert op wat je medewerker zegt. Wie meegaat in het verzoek, krijgt direct een korte uitleg. Wie terugbelt, heeft het goed gedaan en hoort dat ook.
Zo wordt het patroon herkenbaar voordat er echt geld op het spel staat. Want de vraag is niet of iemand in jouw bedrijf ooit zo’n telefoontje krijgt. De vraag is wat hij dan doet.
Bronnen en verder lezen
- Fraudehelpdesk: CEO-fraude en factuurfraude herkennen en melden.
- NCSC: adviezen over social engineering en AI-gestuurde fraude.
- Digital Trust Center: afspraken en procedures voor veilig betalen in het MKB.
