Als je moest raden welke betaalmethode criminelen in 2026 het vaakst targeten, zou je dan kiezen voor een papiertje dat al sinds de 17e eeuw bestaat, of voor een real-time digitale overschrijving? Het antwoord, volgens de nieuwste Payments Fraud and Control Survey van de Association for Financial Professionals (AFP), is de papieren cheque. Achtenvijftig procent van de organisaties meldde fraude met cheques in 2025 — meer dan ACH-incasso's (30%) en overschrijvingen (25%) samenhalen, halen het niet eens.
Over het geheel genomen heeft 76% van de Amerikaanse organisaties vorig jaar te maken gehad met pogingen tot of daadwerkelijke betalingsfraude. Dat is geen nichedat een paar ongelukkige bedrijven treft — het is de standaard operationele omgeving voor iedereen die geld verplaatst. En de bedrijven die het minst toegerust zijn om de klap op te vangen, zijn precies degenen die het meest waarschijnlijk worden getroffen: kleine en middelgrote bedrijven zonder een treasury-afdeling, een fraudeanalist of een bankrelatiemanager op speeddial.
Als je een klein bedrijf runt en nog steeds cheques uitschrijft of accepteert — en de meeste bedrijven doen dat — dan is dit 10 minuten van je aandacht waard.
Waarom cheques, van alle dingen, nog steeds het grootste fraude-doelwit zijn
Het lijkt bijna achterhaald. Overschrijvingen verplaatsen geld onmiddellijk en onomkeerbaar, wat ze een aantrekkelijker doelwit zou moeten maken. Maar cheques hebben een structurele zwakte die nieuwere betaalrails niet hebben: ze bevatten alle informatie die een fraudeur nodig heeft — je bankrekeningnummer, rekeningnummer, handtekening en bedrijfsnaam — in platte tekst op een stuk papier dat door de post reist, in een onafgesloten la ligt of op een telefoon wordt gefotografeerd.
"Cheque-washing" — het chemisch verwijderen van de inkt van een gestolen cheque en het herschrijven van de begunstigde en het bedrag — is zo gebruikelijk geworden dat de U.S. Postal Inspection Service er speciale publiekscampagnes voor voert. Voeg daarbij regelrechte vervalsing (het printen van valse cheques met jouw rekening- en routingnummers van een onderschept document) en gewijzigde cheques (het verhogen van een cheque van €500 naar €5.000), en je hebt een fraudevector die goedkoop uit te voeren is en moeilijk te herleiden tot één enkel faalpunt.
Hier is het deel dat elke kleine ondernemer aan het denken zou moeten zetten: ondanks dit alles zei 72% van de cheque-gebruikende organisaties tegen AFP dat ze toch van plan zijn cheques te blijven gebruiken, en 68% noemde leveranciersvereisten als reden. Met andere woorden, bedrijven kiezen niet voor cheques omdat ze denken dat cheques veilig zijn — ze zitten eraan vast omdat een leverancier, verhuurder of aannemer erop staat op die manier betaald te worden.
De kwetsbaarheidskloof voor kleine bedrijven
Het AFP-onderzoek belicht een verschil dat er veel toe doet als je geen Fortune 500-financiële afdeling runt. Verliespercentages verschillen sterk per bedrijfsgrootte: 48% van de bedrijven met een jaaromzet van minder dan €1 miljard meldde daadwerkelijke financiële verliezen door fraude, tegenover 66% van de grotere organisaties.
Op het eerste gezicht klinkt dat als goed nieuws voor kleine bedrijven — minder van hen verliezen geld. Maar lees het andersom: grotere organisaties hebben lagen van controles (dubbele autorisatie, speciale fraudeteams, verzekeringspolissen die voor dit exacte scenario zijn ontworpen) die fraude-pogingen onderscheppen voordat geld het pand verlaat, of die fondsen achteraf terugvorderen via bankrelaties en juridische middelen die een bedrijf van vijf personen simpelweg niet heeft. Wanneer fraude bij een klein bedrijf toch doorkomt, is er meestal geen vangnet. Het verlies wordt niet opgevangen door een bedrijfsverzekeringsprogramma — het komt rechtstreeks uit de cashflow van de eigenaar.
Dat is de echte kop die in dit onderzoek verborgen zit: kleine bedrijven worden niet minder vaak aangevallen omdat ze minder kwetsbaar zijn. Ze worden vaak minder aangevallen omdat ze kleinere doelwitten zijn met kleinere cheques om te stelen. Maar wanneer een aanval slaagt, heeft een klein bedrijf veel minder ruimte om het op te vangen.
Business Email Compromise stijgt ook snel
Cheques zijn niet het enige verhaal. Business email compromise (BEC) — waarbij een fraudeur zich via e-mail voordoet als een leverancier, leidinggevende of klant en een overschrijving of wijziging van betalingsgegevens vraagt — trof in 2025 74% van de ondervraagde organisaties, een sterke stijging ten opzichte van voorgaande jaren.
De klassieke versie: iemand die e-mailt vanaf wat lijkt op het adres van je CFO ("snel een gunst, ik moet vandaag €8.000 overmaken naar deze nieuwe leveranciersrekening, ik zit in vergaderingen"). De meer geavanceerde versie die nu opduikt: een fraudeur die daadwerkelijk de e-mailthread van een echte leverancier heeft gecompromitteerd of gespooft, en een factuur stuurt met "bijgewerkte" bankgegevens die je legitieme betaling rechtstreeks naar hun rekening leiden. Als je boekhoudproces elke gemailde factuur als betrouwbaar beschouwt zonder verificatiestap, ben je hieraan blootgesteld, ongeacht de bedrijfsgrootte.
Het AFP-onderzoek meldde dit jaar voor het eerst ook iets nieuws: door AI gegenereerde deepfake-audio en -video die worden gebruikt om leidinggevenden na te bootsen tijdens telefoon- of videogesprekken, met het verzoek om dringende overschrijvingen. Het is nog steeds een opkomende dreiging in plaats van een wijdverbreide, maar het is de richting waarin fraude zich ontwikkelt — en het betekent dat "ik hoorde de stem van de CEO, dus het moet echt zijn" niet langer een veilige aanname is.
De AI-adoptiekloof — een kans, niet alleen een waarschuwing
Slechts 17% van de ondervraagde organisaties gebruikt momenteel AI-tools voor fraude-mitigatie, hoewel degenen die dat wel doen betekenisvolle voordelen melden: 49% zag verbeterde efficiëntie in frauderapportage, 45% meldde betere deepfake-detectie en 43% zag snellere real-time fraude-identificatie.
Voor een klein bedrijf hoeft "AI gebruiken voor fraude-detectie" niet te betekenen dat je iets op maat moet bouwen. De meeste moderne zakelijke bankplatforms en treasury-tools bundelen nu basisanomaliedetectie — het markeren van een betaling die ongebruikelijk groot is, naar een nieuwe begunstigde gaat of vreemd getimed is in vergelijking met je normale patronen — in hun standaardaanbod. De kloof die het AFP-onderzoek beschrijft, is niet echt een AI-kloof; het is een adoptiekloof. De tools bestaan en zijn vaak al inbegrepen in de zakelijke rekening van je bank. De meeste bedrijven hebben ze alleen nog niet ingeschakeld.
Een praktische checklist voor fraude-preventie voor kleine bedrijven
Je hebt geen treasury-afdeling nodig om je fraude-risico aanzienlijk te verlagen. Hier is wat echt het verschil maakt, ongeveer in volgorde van kosten-batenverhouding:
1. Schakel Positive Pay in
Positive Pay is een dienst die de meeste zakenbanken aanbieden (soms voor een kleine maandelijkse vergoeding, soms gratis bij een zakelijke rekening) die elke gepresenteerde cheque vergelijkt met een lijst van cheques die je daadwerkelijk hebt uitgeschreven. Als het chequenummer, bedrag of de begunstigde niet overeenkomt met wat je de bank hebt verteld dat je hebt geschreven, wordt het gemarkeerd voordat het wordt geïnd in plaats van erna. Aangezien cheques de meest getargete betaalmethode zijn, is dit de controle met de hoogste hefboom op deze lijst — en het zit vaak ongebruikt in je online bankportaal.
2. Voeg ACH-incassoblokkades of -filters toe
Als je geen automatische ACH-incasso's van leveranciers autoriseert, kun je ze volledig blokkeren op bankniveau, of filters instellen die alleen incasso's toestaan van een vooraf goedgekeurde lijst van bedrijven en bedragen. Dit sluit de op een na meest getargete betaalmethode af met één enkele instellingswijziging.
3. Vereis een terugbelverificatie voor elke wijziging van bankgegevens
Dit is gratis en kost vijf minuten om te implementeren: als een leverancier, aannemer of "leidinggevende" e-mailt met het verzoek om een betaling naar een nieuwe bankrekening te sturen, verifieer dit dan telefonisch — met een nummer dat je al in je bezit hebt, niet een dat in de e-mail wordt verstrekt — voordat je iets verstuurt. Deze enkele gewoonte verslaat de meerderheid van BEC-aanvallen, omdat het hele plan van de fraudeur afhangt van het feit dat je de e-mail op de automatische piloot vertrouwt.
4. Scheid wie betalingen goedkeurt van wie ze verstuurt
Zelfs in een bedrijf met twee of drie personen, zorgt het feit dat één persoon een betaling invoert en een andere persoon deze goedkeurt voordat deze uitgaat, voor een natuurlijke controle (geen woordspeling bedoeld) tegen zowel externe fraude als interne fouten. Als je een echte solozakelijke ondernemer bent, is het alternatief een verplichte vertraging van 24 uur voor elke nieuwe of ongebruikelijk grote betaling, zodat je een afkoelperiode hebt om het dubbel te controleren.
5. Reconciliëer wekelijks, niet maandelijks
Fraude die binnen dagen wordt ontdekt, is vaak terug te vorderen; fraude die na een maand wordt ontdekt, meestal niet. Als je boekhouding op een maandelijkse cadans draait, geef je een frauduleuze cheque of ACH-incasso tot vier weken de tijd om te worden geïnd, te worden uitgegeven en onherroepelijk te worden voordat je het zelfs maar opmerkt. Dit is waar schone, actuele boeken ophouden "leuk om te hebben" te zijn en je daadwerkelijke fraude-detectiesysteem worden — je kunt een ongeautoriseerde transactie niet spotten in een reconciliatie die je nog niet hebt uitgevoerd.
Waarom je boekhoudgewoonten je eerste verdedigingslinie zijn
Elke controle op die lijst — positive pay, ACH-filters, terugbelverificatie, dubbele goedkeuring — hangt af van één onderliggende gewoonte: precies weten wat er op elk moment in je rekeningen zou moeten staan, zodat alles wat onverwacht is er meteen uitspringt. Een bedrijf dat dagelijks of wekelijks reconcileert tegen een duidelijke, gespecificeerde grootboek zal een frauduleuze cheque van €4.000 binnen dagen ontdekken. Een bedrijf dat eenmaal per maand reconcileert tegen een spreadsheet die niemand in drie weken heeft geopend, zal het misschien niet ontdekken tot het geld allang weg is.
Dit is een van de stillere argumenten om je boeken bij te houden in een formaat dat je regel voor regel kunt controleren, in plaats van een black-box-app die je cashpositie samenvat zonder de onderliggende transactiegeschiedenis te tonen. Beancount.io geeft je plain-text, versiebeheerde boekhouding — elke transactie is een leesbare, getimede invoer die jij (of je boekhouder) kunt bekijken, vergelijken en reconciliëren met je bankfeed zonder door een eigen interface te hoeven jagen. Wanneer er iets niet klopt, kun je precies zien wat er is veranderd en wanneer. Begin gratis en ontdek hoe veel gemakkelijker fraude opvalt wanneer je boeken daadwerkelijk zijn gebouwd om te worden gelezen.