CEO-fraude en het nabootsen van leidinggevenden: hoe social engineering op betalingen mikt

CEO-fraude is oplichting waarbij een crimineel zich voordoet als een hooggeplaatste leidinggevende, meestal de CEO of CFO, en een medewerker vraagt een betaling te doen, cadeaukaarten te kopen of gevoelige gegevens te sturen. Het is een variant van business email compromise, en het werkt omdat de oplichter het gezag van de persoon aan de top leent en er druk aan toevoegt: haast, geheimhouding en een aannemelijke reden.

Het Internet Crime Complaint Center van de FBI registreerde in 2025 24.768 klachten over business email compromise, met gemelde verliezen van $3.046.598.558 (IC3 2025 Internet Crime Report). Hetzelfde rapport merkt op dat AI-tools snel officieel klinkende e-mails kunnen maken die de CEO van een bedrijf nabootsen, en dat stemklonen kan worden gebruikt om overschrijvingen aan te vragen.

De verdediging draait minder om technologie dan om een paar vaste regels, ondersteund door e-mailinstellingen die het vervalsen van uw leidinggevenden moeilijker maken.

Hoe een typische poging eruitziet

Het scenario verandert zelden:

1. Het voorwendsel. "Ik zit in een vergadering met de advocaten over een overname. Ik wil dat u vandaag een overschrijving regelt, en houd het voorlopig onder ons."
2. Het kanaal. Een e-mail van een adres dat er correct uitziet, een sms van een onbekend nummer ("mijn nieuwe telefoon") of een spraakbericht dat klinkt als de leidinggevende.
3. De druk. Deadlines, vertrouwelijkheid en een hint dat vragen stellen niet op prijs wordt gesteld.
4. De betaling. Een overschrijving naar een nieuwe rekening, een stapel cadeaukaarten of een verzoek om loon- of belastinggegevens.

Het doelwit is meestal iemand van finance of de boekhouding, of een directieassistent, omdat die de bevoegdheid hebben om geld over te maken en gewend zijn snel te handelen op verzoeken van de leiding.

Waarom het werkt

Criminelen bestuderen wat een aanvaller van buitenaf kan zien: namen en functies van de website en professionele netwerken, reizen die op sociale media worden aangekondigd, het formaat van uw e-mailadressen en wie aan wie rapporteert. Daarmee hoeft een bericht alleen nog te klinken als de baas op een drukke dag.

3 technische gaten maken het makkelijker:

• Uw domein kan worden vervalst. Zonder afgedwongen DMARC-beleid kan een bericht met From: ceo@yourcompany.com in de inbox belanden, ook al hebben uw servers het nooit verstuurd. Zie SPF, DKIM en DMARC uitgelegd.
• Er bestaat een lookalike-domein. yourcornpany.com (met "rn" in plaats van "m") doorstaat de authenticatie, want de crimineel bezit het domein. Meer in lookalike-domeinen en typosquatting.
• Weergavenamen worden vertrouwd. Veel mailapps tonen alleen "Jane Smith, CEO" en verbergen het echte adres erachter, vooral op telefoons.

Spraak- en sms-berichten

Nabootsing beperkt zich niet langer tot e-mail. In mei 2025 waarschuwde de FBI voor een campagne met sms-berichten en door AI gegenereerde spraakberichten die hooggeplaatste Amerikaanse functionarissen nabootsten, met het advies er niet van uit te gaan dat zo'n bericht echt is (FBI IC3 PSA I-051525-PSA). Dezelfde technieken werken voor leidinggevenden van bedrijven van wie de stem te horen is in interviews, webinars of presentaties op congressen.

Het praktische gevolg: een vertrouwde stem aan de telefoon is op zich geen bewijs van identiteit.

Regels die het tegenhouden

Leg deze regels vast en zorg dat elke leidinggevende ze openlijk steunt:

• Geen betaling of wijziging van bankgegevens wordt via één enkel kanaal goedgekeurd. Een verzoek per e-mail wordt telefonisch bevestigd, een telefonisch verzoek via een bericht in uw interne chat, altijd met contactgegevens die u al hebt.
• Leidinggevenden vragen nooit om geheimhouding rond betalingen. Zeg dat hardop in een teamoverleg. Zodra medewerkers weten dat de CEO hen nooit zal vragen de procedure over te slaan, wordt de zin "houd het onder ons" een waarschuwingssignaal.
• 2 personen keuren nieuwe begunstigden en grote overschrijvingen goed.
• Verzoeken van de leiding om cadeaukaarten worden altijd geweigerd.
• Medewerkers die even pauzeren om te controleren, worden bedankt en nooit bekritiseerd, ook als het verzoek echt blijkt te zijn.

E-mailinstellingen die u moet controleren

dig +short TXT _dmarc.yourcompany.com

1. Dwing DMARC af met p=quarantine of p=reject, zodat vervalste mail vanaf uw eigen domein niet wordt afgeleverd.
2. Schakel in uw mailsysteem de markering voor externe afzenders in, zodat berichten van buiten het bedrijf duidelijk herkenbaar zijn.
3. Activeer bescherming tegen nabootsing van de namen van leidinggevenden, als uw e-mailbeveiliging dat ondersteunt.
4. Vereis multifactorauthenticatie op de mailboxen van de directie en van finance, want een echte overgenomen mailbox is de overtuigendste afzender van allemaal.
5. Houd een lijst bij van domeinen die op het uwe lijken en controleer welke daarvan MX-records hebben.

Als er al betaald is

Neem meteen contact op met uw bank en vraag om terugboeking van de overschrijving, en dien daarna een klacht in op ic3.gov. De FBI wijst erop dat elke minuut telt en dat IC3 financiële instellingen en politie mogelijk kan helpen bij het veiligstellen van het geld (IC3 PSA I-091124-PSA). Bewaar de originele berichten met volledige headers voor de onderzoekers.

Korte checklist

• Controle via 2 kanalen bij elke betaling of wijziging van bankgegevens.
• Een duidelijke verklaring van de leiding dat verzoeken om geheimhouding een alarmsignaal zijn.
• DMARC afgedwongen, markering van externe afzenders aan.
• Multifactorauthenticatie op de mailboxen van finance en directie.
• Lookalike-domeinen in kaart gebracht en bewaakt.

Hoe Datahorses helpt

Datahorses bewaakt uw bedrijf van buitenaf zoals een aanvaller ernaar zou kijken: nieuwe domeinen die op het uwe lijken, of ze mail kunnen versturen, valse inlogpagina's en wijzigingen in uw SPF, DKIM en DMARC. Een specialist beoordeelt elke bevinding en u krijgt concrete stappen. Hoe dat werkt, ziet u bij hoe wij bewaken of in het voorbeelddashboard. De verwante factuurfraude leggen we uit in valse facturen uit naam van uw bedrijf.