CEO-fraude en factuurfraude: zo bescherm je je kmo

Febelfin, de federatie van de Belgische financiële sector, omschrijft CEO-fraude als een vorm van identiteitsfraude waarbij een crimineel onder een valse identiteit een medewerker misleidt om een betaling uit te voeren. Dat klinkt abstract, dus even concreet.

CEO-fraude begint met huiswerk. De oplichter zoekt uit wie in je zaak betalingen doet, wie de zaakvoerder is en wanneer die op verplaatsing zit. Dat is meestal een half uur werk met je website, LinkedIn en de Kruispuntbank van Ondernemingen. Daarna volgt een mail in naam van de zaakvoerder, met vier vaste ingrediënten: gezag, haast, geheimhouding en een reden waarom overleg nu even niet kan.

Factuurfraude werkt subtieler. Soms wordt een echte factuur onderschept en aangepast, soms komt er simpelweg een mail dat het rekeningnummer wijzigt. Vaak volgt eerst een onschuldig bericht om vertrouwen te winnen, en pas weken later de vraag om te betalen. Omdat de bedragen in de lijn liggen van wat je gewoonlijk betaalt, valt er niets op. Het besef komt pas als de echte leverancier zijn geld komt vragen. Let op: factuurfraude werkt ook in de omgekeerde richting. Jouw klanten krijgen dan een valse factuur uit jouw naam, en dan is het jouw reputatie die schade oploopt.

De cijfers uit het meest recente fraudeonderzoek in onze regio zijn ontnuchterend. Volgens het Fraude Trendrapport Benelux 2026 van kredietverzekeraar Allianz Trade kreeg 89% van de organisaties het afgelopen jaar met fraudepogingen te maken, tegenover 78% een jaar eerder. Factuurfraude steeg daarbij naar 44% van de externe fraudegevallen, en twee op de drie organisaties zag fraude waarbij AI werd ingezet.

De schade is geen kleingeld. Bij een derde van de bedrijven loopt de fraudeschade op boven 100.000 euro en bij een tiende boven 500.000 euro. In België gaf twee op de vijf organisaties aan dat fraude een aanzienlijke tot zeer ernstige impact had, meer dan het Benelux-gemiddelde. Internationaal ligt het gemiddelde verlies per geval van bedrijfsmailfraude op ongeveer 124.000 dollar. Voor een kmo met een dunne buffer is dat het verschil tussen een slecht kwartaal en een existentieel probleem.

Niet omdat er meer te halen valt, maar omdat de weg korter is. En het aantal pogingen is groot: in maart 2026 werden er in België ruim 42.000 verdachte berichten per dag gemeld, tegenover gemiddeld 27.000 per dag in 2025. Een deel daarvan mikt rechtstreeks op de mailbox waar jouw facturen binnenkomen.

• Korte lijnen, weinig controles. In een kleine zaak kan één persoon een betaling uitvoeren. Er is vaak geen tweede paar ogen, geen betaallimiet en geen vaste procedure.
• Alles staat openbaar. Namen, functies, adres, ondernemingsnummer en soms zelfs facturen in een openbare deelmap: het is legaal beschikbaar en het maakt een verhaal geloofwaardig.
• Grote bedrijven werden lastiger. Wie bij een groot bedrijf niet meer binnenkomt, probeert zijn leverancier. Dat ben jij.
• AI verlaagt de kost per poging. Correcte teksten, meerdere talen, een nagemaakte huisstijl en zelfs een nagebootste stem aan de telefoon: een geloofwaardige poging maken kost bijna niets meer.
• Er is niemand die het tegenhoudt. Geen veiligheidsteam, geen permanente bewaking, wel een drukke agenda.

Belangrijk om te weten: dit heeft niets te maken met naïviteit. De slachtoffers zijn doorgaans nauwgezette mensen die hun werk goed willen doen en snel willen helpen. Precies daarom werkt het.

Deze zes signalen dekken de overgrote meerderheid van de pogingen:

• Een nieuw rekeningnummer. Elke wijziging van bankgegevens per mail is verdacht, altijd, ook bij een leverancier waar je tien jaar mee werkt.
• Druk en geheimhouding samen. Haast is verdacht, geheimhouding is verdacht, de combinatie is een alarm.
• Afwijken van de normale procedure. Een factuur die plots via een andere weg komt, of een betaling buiten de gewone betaalronde.
• De zaakvoerder die onbereikbaar is. Fraudeurs kiezen bewust momenten van reizen, vakantie of drukte, en zeggen vaak zelf dat bellen nu niet lukt.
• Een adres dat er bijna klopt. Eén letter verschil, een streepje extra, een andere extensie. Klik de afzender open in plaats van enkel de naam te lezen.
• Een gevoel van ongemak. Onderschat dit niet. Wie denkt dat iets vreemd is, heeft meestal gelijk. Geef mensen expliciet de ruimte om op dat gevoel te handelen.

Techniek helpt, maar afspraken houden de fraude tegen. Deze drie zijn gratis en werken vandaag nog:

1. Terugbellen op je eigen nummer. Elke wijziging van een rekeningnummer wordt telefonisch bevestigd op een nummer uit je eigen klant- of leveranciersdossier, nooit op een nummer uit de mail. Geen bevestiging betekent geen betaling.
2. Vier ogen boven een bedrag. Spreek een drempel af, bijvoorbeeld 2.500 euro, waarboven altijd twee mensen aftekenen. Belangrijk: die regel geldt ook voor de zaakvoerder zelf. Zonder uitzonderingen is er niets om onder druk te zetten.
3. Betaalgegevens komen nooit uit een mail. Betaal altijd op het rekeningnummer dat in je boekhoudpakket of in het leverancierscontract staat, niet op wat er in de laatste mail vermeld staat.

Bescherm tegelijk je eigen naam, want fraude uit jouw naam is minstens even schadelijk. Laat je hoster de instellingen bij je domeinnaam zo zetten dat vervalste mails uit jouw naam geweigerd worden voor ze je klanten bereiken, zet je vaste rekeningnummer op elke factuur en op je website, en vermeld daar duidelijk dat je dat nummer nooit per mail wijzigt. Klanten die dat weten, worden je extra beveiliging.

Snel reageren maakt het verschil tussen schade en verlies:

1. Bel meteen je bank en vraag om de overschrijving terug te roepen. Binnen enkele uren is er soms nog iets te doen, daarna zelden.
2. Doe aangifte bij de politie en neem de originele mails mee, inclusief de technische gegevens. Verwijder niets.
3. Verwittig je verzekeraar en je boekhouder. Sommige polissen dekken fraude of de gevolgschade ervan.
4. Meld het bericht op verdacht@safeonweb.be zodat de gebruikte links en domeinen ook voor anderen geblokkeerd worden.
5. Informeer wie het moet weten. Gingen er valse facturen naar jouw klanten, waarschuw hen dan zelf en snel. Open communicatie beperkt de reputatieschade veel meer dan stilte.

En daarna: evalueer zonder schuldigen aan te wijzen. Wie een medewerker afstraft, krijgt de volgende poging niet meer te horen.

Fraudeurs misbruiken de zwakke plekken in het beeld dat jouw bedrijf online geeft: een verouderde site, een gratis mailadres, een domein dat niemand beschermde. Wil je weten waar jij vandaag punten laat liggen? Doe de gratis marketing scan van Marketing Scan België. In enkele minuten zie je hoe je website en je online aanwezigheid overkomen, met concrete verbeterpunten in mensentaal.