De e-mail ziet er precies uit zoals het hoort. Het is afkomstig van het echte adres van je CEO, in een thread die verwijst naar een daadwerkelijke lopende deal, waarin je controller wordt gevraagd om $47.000 over te maken naar een leverancier tegen het einde van de dag, omdat een deadline krap is en "Ik zit van de ene vergadering in de andere, regel het alsjeblieft gewoon." Niets eraan leest als verdacht. De toon klopt. De urgentie klopt. De typefouten zijn verdwenen – het tijdperk van komisch slechte phishing-Engels is voorbij.
Twintig minuten later is het geld verdwenen, en de CEO heeft die e-mail nooit verzonden.
Dit is business e-mail compromise, of BEC, en het is nu de meest kostbare categorie van cybercriminaliteit die aan de FBI wordt gerapporteerd – groter dan ransomware, groter dan datalekken. Alleen al in 2025 registreerde het Internet Crime Complaint Center van de FBI bijna 25.000 BEC-klachten, met een totaal van iets meer dan $3 miljard aan gerapporteerde verliezen, een stijging ten opzichte van $2,77 miljard het jaar ervoor. In de afgelopen tien jaar zijn de cumulatieve gerapporteerde BEC-verliezen opgelopen tot meer dan $17 miljard, een meer dan tienvoudige toename sinds 2015. En in tegenstelling tot een gestolen creditcard, is een frauduleuze overboeking vaak voorgoed verdwenen zodra deze is verwerkt – ruwweg 86% van de BEC-verliezen verloopt via overboekingen of ACH, die beide snel worden afgewikkeld en bijzonder moeilijk terug te vorderen zijn zodra de gelden op de rekening van de fraudeur landen en opnieuw worden verplaatst.
Kleine en middelgrote bedrijven zijn onevenredig kwetsbaar. Ze verwerken elke week echt geld via hun crediteurenadministratie, maar ze hebben zelden de gelaagde verificatiecontroles die een grote onderneming met een treasury-afdeling als vanzelfsprekend beschouwt. Die kloof – echte kasstroom, minimale controles – is precies wat BEC-oplichters willen uitbuiten.
Hoe de oplichting daadwerkelijk werkt
BEC is niet echt een hackprobleem. Het is een vertrouwensprobleem, en dat maakt het zo effectief tegen goedbedoelende, drukke mensen. De mechanismen vallen meestal in een paar patronen:
Impersonatie van een leidinggevende. Een bericht dat afkomstig lijkt te zijn van een oprichter, CEO of CFO – soms van een echt maar gecompromitteerd account, soms van een gespoofd of nagemaakt domein (uwbedrijf-inc.com in plaats van uwbedrijf.com) – instrueert iemand op de financiële afdeling om een urgente, vertrouwelijke overboeking te doen. De urgentie en vertrouwelijkheid hebben als doel: ze ontmoedigen de ontvanger om bij iemand anders navraag te doen voordat hij handelt.
Impersonatie van een leverancier. Een e-mail die eruitziet alsof deze afkomstig is van een echte, bestaande leverancier, informeert je crediteurenteam dat "onze bank is gewijzigd" en geeft nieuwe overboekingsinstructies voor de volgende factuurbetaling. Deze variant is bijzonder gevaarlijk omdat de factuur zelf vaak volledig legitiem is – echt bedrag, echt uitgevoerd werk – waarbij alleen de rekening van bestemming is verwisseld. Je team betaalt een rekening die ze oprecht verschuldigd zijn, alleen naar de verkeerde plaats.
Overname van gecompromitteerd account. In plaats van een e-mailadres te spoofen, krijgt de aanvaller daadwerkelijk toegang tot een echte mailbox – die van een leverancier, een partner, soms een werknemer – via een eerdere phishingaanval of gelekte inloggegevens. Vanuit een legitieme, eerder vertrouwde thread voegen ze een betaalverzoek in of leiden ze een lopend factuurgesprek om. Omdat de e-mail daadwerkelijk afkomstig is van het echte account, zullen technische e-mailauthenticatiecontroles dit niet detecteren; alleen een menselijk proces zal dit doen.
Omleiding van salaris. Een bericht dat een werknemer imiteert, vraagt HR of de salarisadministratie om de details van directe storting bij te werken vóór de volgende salarisrun, waarbij een salaris (of meerdere) stilzwijgend wordt omgeleid naar een rekening die de werknemer niet beheert.
Wat al deze gevallen bindt, is dat geen van hen vereist dat er wordt ingebroken in je systemen. Ze vereisen het vinden van één persoon, op één drukke dag, die een e-mail voldoende vertrouwt om een verificatiestap over te slaan die ze anders wel zouden nemen.
De controles die het daadwerkelijk stoppen
Het goede nieuws: BEC wordt bijna volledig verslagen door proces, niet door technologie. Een klein bedrijf heeft geen security operations center nodig – het heeft een korte lijst van regels nodig die elke keer, zonder uitzonderingen voor "maar deze leek urgent en legitiem", worden gevolgd.
1. Terugbelverificatie voor elke wijziging van betalingsgegevens
Dit is de afzonderlijk meest waardevolle controle die je kunt invoeren, en het kost niets anders dan discipline. Elk verzoek om de bankrekening, overboekingsinstructies of betaalcontactpersoon van een leverancier te wijzigen – ongeacht hoe het binnenkomt, ongeacht van wie het afkomstig lijkt te zijn – moet telefonisch worden geverifieerd voordat ernaar wordt gehandeld. Cruciaal is dat die terugbelactie naar een telefoonnummer gaat dat al in je leveranciersdossiers staat, nooit naar een nummer dat in de e-mail of tekst van het verzoek wordt vermeld. Als de enige manier om de wijziging te "bevestigen" is door te antwoorden op dezelfde e-mailthread of door het nummer in de handtekening te bellen, heb je niets geverifieerd – je hebt de fraudeur alleen gevraagd zichzelf te bevestigen.
2. Dubbele goedkeuring voor uitgaande betalingen boven een drempelbedrag
Geen enkele persoon – ongeacht de functie – mag unilateraal een overboeking boven een vastgesteld bedrag initiëren en goedkeuren. Een tweede, onafhankelijk paar ogen dat de betalingsgegevens controleert voordat de betaling wordt vrijgegeven, vangt het fraudepatroon vrijwel elke keer op, omdat de tweede beoordelaar niet werkt onder dezelfde gecreëerde urgentie als de persoon die het oorspronkelijke verzoek heeft ontvangen. Stel het drempelbedrag laag genoeg in om relevant te zijn voor de grootte van je bedrijf; een overboeking van $47.000 is precies het soort middelgrote, aannemelijk ogende bedrag dat BEC-oplichters verkiezen, omdat het gemakkelijk wordt verwerkt zonder extra bancaire controle te activeren.
3. Behandel urgentie en vertrouwelijkheid als waarschuwingssignalen, niet als instructies
"Behandel dit stil", "betrek niemand anders erbij", "ik moet dit gedaan hebben voor mijn vlucht" — deze zinnen bestaan ook in legitieme zakelijke communicatie, en juist daarom maken oplichters er misbruik van. Leer uw team om druk om het normale proces te omzeilen te zien als een reden om te vertragen en te verifiëren, niet als een reden om sneller te handelen. Een legitieme leidinggevende die oprecht haast heeft, zal niet boos zijn dat u een bankoverschrijving telefonisch heeft bevestigd voordat u deze verzond.
4. Beveilig wijzigingen in het leveranciersstamgegevensbestand
Wijzigingen in uw leveranciersbetaalgegevens — nieuw bankrekeningnummer, nieuw correspondentieadres, nieuwe primaire contactpersoon — verdienen dezelfde nauwkeurigheid als de betalingen zelf. Eis een tweede goedkeurder voor elke wijziging in het leveranciersstamgegevensbestand, en overweeg een korte 'afkoelingsperiode' tussen het moment dat een wijziging wordt ingevoerd en het moment dat deze van kracht wordt voor de volgende betaalrun, om een tweede beoordelaar tijd te geven om eventuele fouten te ontdekken.
5. Let op het domein, niet alleen op de naam
Leer uw team om bij alles wat met geld te maken heeft het daadwerkelijke verzendende domein te controleren, niet alleen de weergavenaam (die gemakkelijk te vervalsen is). Een bericht van "John Smith, CEO" verdient een tweede blik als het onderliggende adres [email protected] is in plaats van [email protected]. Aan de technische kant: zorg ervoor dat uw eigen domein SPF, DKIM en DMARC geconfigureerd heeft — dit voorkomt niet dat iemand u spoofs, maar het voorkomt wel dat aanvallers uw domein succesvol spoofen om uw eigen leveranciers en klanten op te lichten.
6. Creëer een "als het geld beweegt, wordt het geverifieerd"-cultuur — en maak het gemakkelijk
De bovenstaande controles werken alleen als mensen ze daadwerkelijk onder druk volgen, wat betekent dat de verificatiestap snel en genormaliseerd moet zijn, geen vervelende omweg. Houd een actuele, gemakkelijk toegankelijke contactlijst voor leveranciers bij met geverifieerde telefoonnummers. Maak de terugbelstap een normaal, verwacht onderdeel van het betaalproces, in plaats van iets dat voelt als het beschuldigen van een collega van oplichting. De bedrijven die het zwaarst getroffen worden, zijn meestal die waar het proces technisch gezien op papier bestond, maar niemand het daadwerkelijk volgde op het ene moment dat het ertoe deed.
Wat te doen als het al gebeurd is
Als een frauduleuze overschrijving inderdaad is uitgevoerd, is snelheid het enige middel dat u nog heeft. Neem onmiddellijk contact op met de fraudeafdeling van uw bank en vraag om een terugroepactie of stopzetting van de overschrijving — banken kunnen soms geld onderscheppen dat nog niet volledig is verrekend of vrijgegeven door de ontvangende instelling, maar alleen binnen een korte periode. Dien zo snel mogelijk een klacht in bij het Internet Crime Complaint Center van de FBI (IC3.gov); het Recovery Asset Team van het IC3 heeft in sommige gevallen geholpen geld te bevriezen en terug te vorderen wanneer zij snel op de hoogte werden gesteld. Elk uur telt — hoe eerder de melding, hoe groter de kans om het geld te onderscheppen voordat het weer verplaatst wordt.
Maak van uw grootboek een controle, niet slechts een registratie
Elk van deze controles is afhankelijk van het snel kunnen beantwoorden van basisvragen: wie heeft deze betaling goedgekeurd, wat waren de bankgegevens van de leverancier vóór de "wijziging", en komt deze transactie overeen met een patroon dat we eerder hebben betaald? Dat is veel moeilijker wanneer uw boekhouding een mix is van bankexporten, spreadsheets en half-herinnerde goedkeuringen — en veel gemakkelijker wanneer elke transactie op één controleerbare, versiebeheerde plaats leeft.
Beancount.io bewaart uw volledige betalingsgeschiedenis in een platte-tekst grootboek met een complete wijzigingsgeschiedenis, zodat het verifiëren van de echte betaalgegevens van een leverancier — in plaats van te vertrouwen op een zojuist ontvangen e-mail — seconden duurt, in plaats van een zoektocht door oude afschriften. Get started for free en geef uw crediteurenproces het papieren spoor dat BEC-fraude gemakkelijk te vangen en moeilijk te verbergen maakt.