Deepfakes en stemfraude: AI-oplichting bij bedrijven

CEO-fraude bestaat al jaren: een oplichter doet zich per mail voor als de zaakvoerder en vraagt een dringende betaling. Die klassieker is in België nog altijd springlevend: volgens de Allianz Trade fraudebarometer kreeg 78% van de bedrijven het voorbije jaar met fraude te maken, met CEO-fraude als meest voorkomende vorm (39%).

Nieuw is het gereedschap. Waar de oplichter vroeger een mailadres vervalste, vervalst hij nu een stem of zelfs een gezicht. AI maakte dat schokkend laagdrempelig: drie seconden audio volstaan om een stem met zowat 85% gelijkenis te klonen, en die drie seconden staan van de meeste ondernemers gewoon online, in een reel, een interview of een voicemail.

Het resultaat is een fraudegolf met echte schade: in de eerste negen maanden van 2025 werd wereldwijd al meer dan 1,5 miljard dollar verlies door deepfakefraude gerapporteerd. Het bekendste geval blijft de financieel medewerker die na een videovergadering 25,6 miljoen dollar overschreef, terwijl elke deelnemer aan dat gesprek, inclusief de zogenaamde CFO, een AI-deepfake was.

Het lijkt logisch dat criminelen op de grootste vissen jagen, maar de praktijk is omgekeerd. Grote bedrijven hebben viermanshandtekeningen, betaalworkflows en fraudeteams. Bij een kmo volstaat vaak één overtuigd persoon om een betaling uit te voeren, en iedereen kent er de stem van de baas, wat een gekloonde stem net effectiever maakt.

De schaal van het probleem groeit snel. Onderzoek telt intussen minstens 400 bedrijven per dag die met deepfake-CEO-fraude geconfronteerd worden, en telefonische oplichting met gekloonde stemmen (vishing) steeg in het eerste kwartaal van 2025 met 1.633%. Ook privé is het fenomeen al breed voelbaar: 1 op 4 volwassenen kreeg al te maken met een AI-stemscam, zelf of via iemand in de omgeving.

Belangrijk om te beseffen: de oplichter hoeft geen perfecte imitatie te maken. Hij hoeft alleen genoeg tijdsdruk en context te creëren zodat niemand op het idee komt om te twijfelen. Daarom werkt de verdediging ook niet via beter luisteren, maar via betere afspraken.

Een typisch scenario bij een kmo verloopt in drie stappen:

1. Voorbereiding. De oplichter verzamelt publiek materiaal: de naam van de zaakvoerder en de boekhouder via de website of LinkedIn, de stem via een video of podcast, de huisstijl via mails of offertes die ergens circuleren. Vaak gaat er een phishingmail aan vooraf om de interne structuur te leren kennen; bedenk dat ruim 80% van de phishingcampagnes intussen AI-gegenereerde teksten in foutloos Nederlands gebruikt.
2. Het contactmoment. Een telefoontje of spraakbericht met de gekloonde stem, soms gevolgd door een WhatsApp of mail die het verzoek "bevestigt". Altijd met dezelfde ingrediënten: urgentie, vertrouwelijkheid en een afwijking van de normale procedure. "Dit moet vandaag nog", "hou het discreet, het gaat om een overname", "ik ben niet bereikbaar, regel het via dit nummer".
3. De betaling. Een overschrijving naar een nieuwe begunstigde, een gewijzigd rekeningnummer van een bekende leverancier, of aankoop van cadeaukaarten en crypto.

Herken je het patroon, dan zie je ook meteen de zwakke plek van de oplichter: hij kan een stem faken, maar niet jouw interne afspraken kennen of omzeilen.

De verdediging tegen stemfraude kost geen software en geen budget, alleen discipline:

• Terugbellen via het gekende nummer. Elk betaalverzoek dat telefonisch, per spraakbericht of via een nieuw nummer binnenkomt, wordt geverifieerd door zélf terug te bellen naar het nummer dat al in je contacten staat. Niet naar het nummer waarvan het verzoek kwam.
• Vier ogen op elke afwijking. Nieuwe begunstigde, gewijzigd rekeningnummer of bedrag boven een afgesproken drempel? Dan kijkt altijd een tweede persoon mee voor de betaling vertrekt, ook (juist) als het verzoek van de baas lijkt te komen.
• Een codewoord voor echte noodgevallen. Spreek binnen het team en eventueel het gezin een woord of vraag af die alleen jullie kennen. Een AI kan een stem klonen, geen gedeelde herinnering.
• Urgentie is een alarmsignaal, geen reden tot haast. Maak de afspraak expliciet: wie druk zet om procedures over te slaan, activeert daarmee automatisch de strengste controle. Een echte zaakvoerder begrijpt dat; een oplichter haakt af.

Een gekloonde stem is indrukwekkende technologie, maar ze breekt op een afspraak van één zin: wij betalen nooit op basis van een telefoontje alleen.

Twijfel je tijdens een gesprek? Leg gewoon op en bel terug via het gekende nummer. Voelt het achteraf niet juist, waarschuw dan meteen je collega's, want oplichters proberen vaak meerdere mensen in dezelfde organisatie.

Is er toch betaald? Bel onmiddellijk je bank en vraag de overschrijving te blokkeren of terug te roepen; de eerste uren zijn beslissend. Doe aangifte bij de politie en meld het incident bij het Centrum voor Cybersecurity België via Safeonweb, dat met zijn meldpunt al een indrukwekkend netwerk uitbouwde: in 2025 ontving Safeonweb bijna 10 miljoen meldingen van verdachte berichten, waarmee tienduizenden kwaadaardige domeinen geblokkeerd werden.

Verwittig ten slotte je boekhouder en, als er klantgegevens in het spel zijn, bekijk of een melding aan de Gegevensbeschermingsautoriteit nodig is. En bespreek het incident open in je team: schaamte is precies waar oplichters op rekenen, gedeelde ervaring is je beste vaccin.

Oplichters beginnen bijna altijd bij wat publiek zichtbaar is: je website, je e-mailinstellingen, je online profielen. Hoe professioneler en beter beschermd die basis, hoe minder aanknopingspunten je weggeeft. Doe de gratis marketing scan en ontdek in enkele minuten waar jouw online aanwezigheid sterker en veiliger kan.