"Kun je snel even een factuur betalen?" — hoe herken je CEO-fraude?

Een appje van "de directeur" met het verzoek om snel een factuur te betalen — het lijkt onschuldig, maar het is een van de meest succesvolle fraudetrucs bij het MKB. Zo herken je het en zo voorkom je het.

Je krijgt een appje van een collega: "Kun je even snel een cadeaubon van 200 euro kopen? Ik zit in een meeting en leg het straks uit." Of een mailtje van de directeur: "Ben onderweg, kun jij deze factuur vandaag nog betalen?" Het lijkt onschuldig. Het is dringend. En precies daarom werkt het.

Deze vorm van fraude heet CEO-fraude of bestuurdersfraude. Geen technische hack, geen virus — gewoon iemand die zich voordoet als je baas, collega of leverancier en misbruik maakt van vertrouwen en tijdsdruk. Bij het MKB gebeurt dit vaker dan je denkt, en de bedragen lopen soms in de tienduizenden euro's. In deze post: hoe herken je het, en belangrijker — hoe voorkom je dat iemand op kantoor er ooit intrapt?

Waarom juist het MKB een doelwit is

Grote bedrijven hebben vaak strakke procedures voor betalingen. Bij een klein of middelgroot bedrijf gaat het meestal informeler: de directeur belt of appt de boekhouder, en die regelt het. Fraudeurs weten dat. Ze zoeken op LinkedIn wie er bij jullie werkt, kijken op de website wie de directeur is, en verzinnen een geloofwaardig verhaal.

De signalen komen vaak binnen op maandagochtend, vrijdagmiddag, of net voor een vakantie. Momenten waarop mensen haast hebben en niet dubbel checken.

De vier meest voorkomende varianten

1. De spoedbetaling

Een mail of appje "van de directeur" met het verzoek om een factuur direct te betalen. Vaak naar een buitenlandse rekening. De toon is vriendelijk maar dringend: "Ik reken op je, dit moet vandaag nog."

2. De gewijzigde IBAN

Een bestaande leverancier stuurt "een update": voortaan graag betalen op een nieuw rekeningnummer. De mail komt van een adres dat lijkt op het echte (bijvoorbeeld @leveranciernl.com in plaats van @leverancier.nl). We schreven hier eerder over — het blijft een van de meest succesvolle trucs.

3. De cadeaubonnenvraag

Klassieker onder collega's: "Ik zit in een meeting, kun jij even 10 cadeaubonnen kopen voor klanten? Stuur me de codes door WhatsApp." Klinkt raar, gebeurt heel vaak.

4. De salaris-omleiding

Iemand doet zich voor als een medewerker en vraagt HR of de boekhouder om het salaris voortaan naar een andere rekening over te maken. Vaak vlak voor de loonrun.

Vijf rode vlaggen die je altijd moet zien

• Haast en geheimhouding. "Bel niemand, ik leg het straks uit." Echte bazen werken niet zo.
• Een ander kanaal dan normaal. Je directeur mailt nooit vanaf een Gmail-adres, dus waarom nu wel?
• Een verzoek dat afwijkt van de procedure. Betalingen gaan normaal via de boekhouder én een tweede paraaf — nu ineens niet?
• Een rekeningnummer dat je niet kent. Zeker als het een buitenlandse IBAN is, of een rekening bij een online-only bank.
• Emoties. Fraudeurs spelen in op stress, angst voor gezichtsverlies, of het verlangen om behulpzaam te zijn.

Wat je vandaag kunt regelen

Je hoeft geen fraude-expert te worden. Een paar simpele afspraken maken je bedrijf al een stuk minder aantrekkelijk als doelwit.

Spreek een vier-ogen-regel af

Elke betaling boven een bepaald bedrag (bijvoorbeeld 1.000 euro) én elke wijziging van een rekeningnummer wordt door twee mensen bevestigd. Niet via mail — die kan namaak zijn — maar via een tweede kanaal: even bellen, langslopen, of een bekend telefoonnummer gebruiken.

Check nieuwe rekeningnummers altijd

Krijg je een IBAN binnen van een "nieuwe" leverancier, of een wijziging van een bestaande? Bel het bedrijf op het nummer dat je al kent (niet het nummer uit de mail!) en verifieer. Onze IBAN-check laat je in een paar seconden zien of een IBAN qua formaat en bank überhaupt klopt. Voor btw-nummers hebben we de btw-check.

Maak het onderwerp bespreekbaar

Vertel je team dat CEO-fraude bestaat en dat jij als directeur nóóit via WhatsApp om spoedbetalingen zult vragen. Geef expliciet toestemming om verzoeken van jou te weigeren of te checken. Dat neemt de sociale druk weg.

Beveilig het mailkanaal zelf

Veel CEO-fraude begint met een gehackte of nagemaakte mailbox. Zorg dat SPF, DKIM en DMARC goed staan op je domein — dat maakt het lastiger voor fraudeurs om uit jouw naam te mailen. En zet tweestapsverificatie aan op alle zakelijke accounts, zodat een gestolen wachtwoord alleen niet genoeg is.

Leg de procedure vast op één A4

"Wat doen we bij een verzoek tot betaling of IBAN-wijziging?" Eén overzichtelijk vel, opgehangen bij de boekhouder en gedeeld met alle collega's die met facturen te maken hebben. Simpel, maar het werkt.

Wat als het toch misgaat?

Ontdek je dat er een frauduleuze betaling is gedaan? Bel direct je bank — soms kan een overboeking nog worden teruggeroepen als je er binnen enkele uren bij bent. Doe ook aangifte bij de politie en meld het bij de Fraudehelpdesk. En check daarna intern of het mailaccount van waaruit de fraude "leek" te komen misschien gecompromitteerd is.

Kort samengevat

CEO-fraude werkt niet omdat mensen dom zijn, maar omdat de aanval slim is: dringend, persoonlijk, en op het juiste moment. De beste bescherming is geen software, maar een afspraak: bij twijfel, altijd verifiëren via een ander kanaal. En bij elke nieuwe of gewijzigde IBAN: even checken vóór je betaalt.

Wil je snel controleren of een IBAN klopt? Gebruik onze IBAN-check. Twijfel je of je mailbeveiliging op orde is? Kijk dan eens naar onze mail-beveiligingscheck — dan weet je zeker dat fraudeurs niet zomaar uit jullie naam kunnen mailen.