CEO-fraude bestaat erin zich voor te doen als een bedrijfsleider of als een leverancier om een overschrijving of gevoelige informatie te verkrijgen. Er is niets nieuws aan. Wat verandert, is dat het nabootsen van een stem of een gezicht met artificiële intelligentie toegankelijk en overtuigend is geworden.
Zo werd in 2024 een multinationaal bedrijf in de val gelokt tijdens een videovergadering waarin alle gesprekspartners, behalve het slachtoffer, met AI gegenereerde vervalsingen waren, een zaak die breed is gerapporteerd. Ook kmo's zijn doelwit, want ze hebben minder controleprocedures en snellere beslissingen.
Goed nieuws: u hebt geen enkele technologie nodig om u te verdedigen. Eenvoudige, bekende en toegepaste regels volstaan. Hier is het protocol dat wij in de opleiding aanleren.
verificatieregels om in te voeren
kanalen minimaal om een ongewone betaling te valideren
De meest voorkomende scenario's
- De valse bedrijfsleider — Een bericht of telefoontje, met een nagebootste stem, vraagt de boekhouding om een dringende en vertrouwelijke overschrijving.
- De valse leverancier — Een mail, soms gevolgd door een telefoontje, kondigt een wijziging van bankgegevens aan voor de volgende factuur.
- De valse videovergadering — Deelnemers van wie het gezicht en de stem door AI zijn gegenereerd, vragen om een transactie.
- De valse technicus of de valse bank — Iemand stelt zich voor om een rekening te “beveiligen” en vraagt een code die per sms is ontvangen.
- De valse kandidaat — Een videogesprek met een vervalste identiteit of een vervalst gezicht, om toegang te krijgen tot informatie of een gevoelige functie.
- Door AI geschreven phishing — Foutloze mails, perfect afgestemd op uw sector en uw context.
De zes regels van het protocol
1. Dubbele validatie via een tweede kanaal
Elke ongewone overschrijving, elke wijziging van bankgegevens, elke vraag naar gevoelige informatie moet worden bevestigd via een ander middel dan dat van de aanvraag. Mail ontvangen: we bevestigen per telefoon. Telefoontje ontvangen: we bevestigen via een andere weg.
2. Terugbellen op een bekend nummer
We bellen de persoon altijd terug op het nummer dat al in uw dossiers is geregistreerd, nooit op het nummer dat in het bericht staat.
3. Een afgesproken woord voor noodgevallen
Een woord of een vraag die alleen de betrokken personen kennen, persoonlijk meegedeeld, om een dringende aanvraag buiten de procedure om te valideren.
4. Een drempel en een betalingscircuit
Boven een vastgesteld bedrag is een tweede ondertekenaar verplicht, wie de aanvrager ook is. Geen enkele uitzondering voor “de baas is op verplaatsing”.
5. Urgentie en geheimhouding zijn waarschuwingssignalen
Hoe meer men u onder druk zet, hoe meer u moet controleren. Een aanvraag die verbiedt erover met een collega te praten, is van nature verdacht.
6. Het recht om te controleren, zonder gevolgen
Elke medewerker moet weten dat men hem nooit zal verwijten dat hij heeft gecontroleerd, ook als het om de bedrijfsleider gaat. Zonder dat bezwijkt de procedure onder de druk.
Hang deze zes regels uit in de boekhouding en bij de klantendienst, en laat ze lezen door elke nieuwkomer.
Na een poging of een geslaagde fraude
- Neem onmiddellijk contact op met uw bank — Als er net een overschrijving is gedaan, kan zij proberen de fondsen terug te vorderen. Hoe sneller, hoe doeltreffender.
- Bewaar het bewijsmateriaal — Berichten, adressen, nummers, opnames, schermafdrukken. Verwijder niets.
- Dien klacht in — Bij de politie. De klacht is vaak nodig voor de stappen bij de bank en de verzekering.
- Meld het — In België stelt het Centrum voor Cybersecurity (campagne Safeonweb) voor om verdachte berichten door te sturen naar het daartoe voorziene adres.
- Verwittig uw verzekering — Sommige contracten dekken cybercriminaliteit, met voorwaarden en aangiftetermijnen.
- Informeer het team — Zonder een schuldige te zoeken: het doel is het protocol te verbeteren.
De teams trainen, niet alleen informeren
Een protocol dat niemand heeft geoefend, houdt geen stand onder stress. De bedrijven die het best weerstaan, organiseren korte simulaties: een vals telefoontje, een valse mail van een bedrijfsleider, met een nabespreking. Die oefeningen leggen de zwakke punten bloot en scheppen de juiste reflexen.
Het is een van de workshops van onze opleiding “AI herkennen”, die in uw lokalen of op afstand wordt gegeven. Voor de andere toepassingen van AI in het bedrijf, zie ons model van een gebruikscharter voor AI.
Deze inhoud is algemene preventie-informatie. Wend u voor een specifieke situatie tot uw bank, de politie en, indien nodig, een specialist in cyberveiligheid.
Uw vragen over deepfakes en fraude
Wat is CEO-fraude?
Het is een oplichting waarbij men zich voordoet als een bedrijfsleider of een leverancier om een overschrijving of gevoelige informatie te verkrijgen, door te spelen op urgentie en vertrouwelijkheid. Met AI kan men vandaag stem en gezicht nabootsen.
Kan men een deepfake met het blote oog herkennen?
Steeds minder. De zichtbare gebreken verdwijnen naarmate de techniek vordert. De bescherming berust dus op verificatieprocedures, niet op het vermogen om een gebrek op te merken.
Hoe controleert u een wijziging van het IBAN van een leverancier?
Door uw gebruikelijke contactpersoon terug te bellen op het reeds geregistreerde nummer, nooit op het nummer uit de mail, en door een schriftelijke bevestiging te eisen die door twee personen is goedgekeurd.
Kan een kmo echt het doelwit zijn?
Ja. Kmo's zijn vaak doelwit omdat ze minder interne controles hebben. De oplichtingen zijn ook grotendeels geautomatiseerd en richten zich op een groot aantal bedrijven tegelijk.
Train uw teams vóór het verdachte telefoontje.
Wij geven sensibiliseringsworkshops en simulaties die zijn afgestemd op uw bedrijf.