Valse facturen uit naam van uw bedrijf: zo werkt business email compromise

Factuurfraude is een vorm van business email compromise (BEC): een crimineel stuurt uw klant een factuur of een bericht over "gewijzigde bankgegevens" dat van uw bedrijf lijkt te komen. De klant betaalt, het geld gaat naar een rekening van de crimineel, en beide partijen ontdekken het weken later, wanneer uw echte factuur nog altijd openstaat.

Het Internet Crime Complaint Center van de FBI omschrijft BEC als fraude gericht op bedrijven die met leveranciers werken of regelmatig overschrijvingen doen, uitgevoerd door e-mailaccounts of andere communicatiekanalen over te nemen via social engineering of computerinbraak (IC3 2025 Internet Crime Report). Hetzelfde rapport telt 24.768 BEC-klachten in 2025, met gemelde verliezen van $3.046.598.558.

De meeste van deze constructies vragen helemaal geen technische inbraak. Ze steunen op een overtuigend afzenderadres, een geloofwaardig verhaal en een betaalproces dat e-mail vertrouwt.

Hoe de fraude in elkaar zit

Een typische aanval met valse facturen verloopt in een paar stappen:

1. Onderzoek. De crimineel zoekt uit wie uw klanten zijn, wie uw facturen verstuurt en hoe die eruitzien. Websites, persberichten, vacatures en doorgestuurde oude facturen helpen daarbij.
2. Een afzenderidentiteit. Ofwel een vervalst From-adres op uw echte domein, ofwel een lookalike-domein zoals examp1e.com of example-billing.com, ofwel een echte mailbox die met een gestolen wachtwoord is overgenomen.
3. Het bericht. Een kort, routineus berichtje: "Let op ons nieuwe rekeningnummer voor deze en toekomstige betalingen." Vaak is het een antwoord in een echte conversatie, zodat het vertrouwd oogt.
4. De betaling. De klant past de leveranciersgegevens aan en betaalt. Tijdsdruk ("de rekening wordt vrijdag opgeheven") verkleint de kans dat iemand belt om het na te gaan.

Op papier is uw klant het slachtoffer, maar de schade komt ook bij u terecht: een onbetaalde factuur, een lastig gesprek en een klant die zich nu afvraagt hoe veilig uw e-mail is.

3 manieren waarop uw naam wordt misbruikt

Vervalst From-adres op uw eigen domein. Dit kan wanneer uw SPF-, DKIM- en DMARC-records ontbreken of te soepel zijn. Een DMARC-beleid p=none vraagt ontvangers om mail die de controle niet doorstaat toch af te leveren. Onze gids over SPF, DKIM en DMARC legt uit hoe u dit dichtzet.

Lookalike-domeinen. Een domein dat één letter van het uwe verschilt, of een extra woord bevat, doorstaat elke authenticatiecontrole, want de crimineel bezit het en stelt de records correct in. Meer daarover in lookalike-domeinen en typosquatting.

Een overgenomen echte mailbox. Is het wachtwoord van een medewerker uitgelekt en heeft het account geen multifactorauthenticatie, dan kan de crimineel echte conversaties lezen, doorstuurregels instellen en vanaf het echte adres versturen. Dit is de moeilijkst te herkennen variant.

Waarschuwingssignalen om met uw klanten te delen

• Een verzoek om bankgegevens te wijzigen dat alleen per e-mail binnenkomt.
• Een nieuwe rekening in een ander land of op een andere naam dan die van uw bedrijf.
• Druk om snel te betalen of om de wijziging vertrouwelijk te houden.
• Een afzenderadres dat bijna, maar niet precies, uw domein is.
• Een reply-to-adres dat afwijkt van het From-adres.

Het advies van de FBI is duidelijk: controleer verzoeken om gewijzigde rekeninggegevens via een tweede kanaal, en ga na of links en afzenderadressen echt horen bij het bedrijf waarvan ze zeggen te komen (IC3 public service announcement, september 2024).

Zo controleert u uw eigen blootstelling

De e-mailkant kunt u in enkele minuten nalopen:

dig +short TXT _dmarc.yourcompany.com
dig +short TXT yourcompany.com | grep spf1

Zoek naar een DMARC-beleid p=quarantine of p=reject en een SPF-record dat eindigt op ~all of -all. Zoek daarna naar geregistreerde domeinen die op het uwe lijken: verwisselde letters, extra koppeltekens, andere extensies zoals .co of .net. Controleer of die domeinen MX-records hebben. Dan kunnen ze e-mail ontvangen (en meestal ook versturen):

dig +short MX examp1e.com

Controleer ten slotte uw mailboxen op doorstuurregels naar externe adressen en zorg dat elk account multifactorauthenticatie gebruikt.

Maatregelen die het tegenhouden

Aan de e-mailkant:

• Dwing DMARC af (p=quarantine of p=reject), zodat vervalste mail vanaf uw domein wordt geweigerd.
• Sluit domeinen die nooit mail versturen af met v=spf1 -all en p=reject.
• Vereis multifactorauthenticatie op elke mailbox.
• Laat een melding afgaan bij nieuwe doorstuurregels en logins vanaf ongebruikelijke locaties.

Aan de betaalkant:

• Laat klanten schriftelijk weten dat uw bankgegevens nooit alleen per e-mail veranderen.
• Vermeld uw bankgegevens op uw website of klantenportaal, zodat klanten ze kunnen nagaan.
• Bevestig intern elke wijziging van bankgegevens van een leverancier telefonisch, via een nummer dat u al hebt, nooit via het nummer in de e-mail.

Als het al gebeurd is

De FBI benadrukt dat tijd ertoe doet. Neem meteen contact op met de bank die de betaling heeft uitgevoerd en vraag om terugboeking, en dien daarna een klacht in op ic3.gov, ongeacht het bedrag (IC3 PSA I-091124-PSA). Breng de getroffen klant schriftelijk op de hoogte, reset de wachtwoorden van elke mailbox die mogelijk betrokken is, en controleer op doorstuurregels.

De rol van Datahorses

Datahorses bewaakt wat een aanvaller kan gebruiken om zich als u voor te doen: nieuw geregistreerde lookalike-domeinen en of ze mail kunnen versturen, uw SPF-, DKIM- en DMARC-records, en signalen van valse inlogpagina's. Duikt er iets op, dan beoordeelt een specialist het en ontvangt u concrete stappen, zoals beschreven in wat er gebeurt als wij iets vinden. Wij doen dit van buitenaf en hebben geen toegang nodig. Het verwante risico van berichten die uw directie nabootsen, komt aan bod in CEO-fraude en het nabootsen van leidinggevenden.