WhatsApp-fraude: valse betaalverzoeken aan zaakvoerders

De meest voorkomende variant bij bedrijven is een vorm van CEO-fraude, verplaatst naar de gsm. De oplichter maakt een WhatsApp-profiel aan met de naam en foto van de zaakvoerder, vaak met een onbekend nummer en de smoes van een nieuw of tijdelijk toestel. Vervolgens contacteert hij gericht de persoon die betalingen kan uitvoeren: de boekhouder, de office manager, de partner in de zaak.

Het script is telkens hetzelfde: vertrouwelijkheid (praat er met niemand over, het gaat om een overname of een verrassing), tijdsdruk (het moet vandaag nog) en onbereikbaarheid (ik zit in een vergadering, bel me niet). Alles is erop gericht om de normale controle, even bellen of binnenlopen, te omzeilen.

Dat die aanpak werkt, tonen de cijfers: CEO-fraude is met 39% de meest voorkomende fraudevorm bij bedrijven in België en Nederland. De schade per geval loopt van enkele duizenden tot honderdduizenden euro's.

Naast de valse zaakvoerder circuleren nog een paar varianten die ondernemers moeten kennen:

• De valse leverancier. Een gekende leverancier meldt via WhatsApp of mail een nieuw rekeningnummer voor de openstaande facturen. Het nummer is van de oplichter, die soms weken heeft meegelezen in een gehackte mailbox om de juiste toon en timing te vinden.
• Het valse kind of familielid. De klassieker die ook zaakvoerders privé raakt: mama, mijn gsm is stuk, dit is mijn nieuw nummer, kun je dringend iets voorschieten?
• De valse beleggingsgroep. WhatsApp-groepen met zogenaamd exclusieve beleggingstips, vaak met misbruikte namen van bekende economen of ondernemers. De FSMA becijferde dat Belgen in 2025 minstens 38,3 miljoen euro verloren aan online beleggingsfraude, waarbij oplichting via WhatsApp-groepen in de lift zit: in de tweede jaarhelft alleen al ruim 9,5 miljoen euro, met gemiddeld 73.000 euro verlies per slachtoffer.
• De accountkaping. Je krijgt een zescijferige code per sms en meteen daarna een berichtje van een contact: sorry, die code was voor mij, kun je ze doorsturen? Wie dat doet, geeft zijn WhatsApp-account weg, waarna de oplichter in jouw naam geld vraagt aan je hele contactenlijst.

Grote bedrijven hebben betaalprocedures met vier ogen en vaste goedkeuringsstromen. In een kmo is de lijn kort: één iemand beslist, één iemand betaalt, en soms is dat dezelfde persoon. Precies die kortere lijn maakt het bedrijf wendbaar, maar ook kwetsbaar: er is geen procedure die een vervalst bericht tegenhoudt, alleen een mens die al dan niet twijfelt.

Bovendien is de informatie die een oplichter nodig heeft gewoon publiek. De naam van de zaakvoerder staat in het Staatsblad en op de website, de foto op LinkedIn, de leveranciers vallen af te leiden uit vacatures en posts. En het volume is er: begin 2026 registreerde Safeonweb ruim 40.000 meldingen van verdachte berichten per dag. Berichtenapps zijn voor criminelen simpelweg het kanaal met de hoogste slaagkans: persoonlijker dan mail, sneller dan de post en zonder spamfilter.

De oplichter hackt zelden je systemen. Hij hackt je gewoontes: de snelheid en het vertrouwen waarmee een klein team werkt.

Je kunt je team trainen op tientallen signalen, maar één afspraak vangt vrijwel elke variant af:

Elk betaalverzoek en elke wijziging van een rekeningnummer wordt bevestigd via een tweede kanaal, op een nummer of adres dat we zelf opzoeken.

Concreet: komt er via WhatsApp een betaalverzoek van de zaakvoerder, dan bel je de zaakvoerder op zijn gekende nummer. Meldt een leverancier per mail een nieuw rekeningnummer, dan bel je de leverancier op het nummer van een oude factuur, niet op het nummer onderaan de verdachte mail. Geen uitzonderingen, ook niet bij haast, juist niet bij haast.

Maak die regel expliciet en wederzijds: de echte zaakvoerder belooft dat hij nooit boos wordt op wie een dringend verzoek eerst verifieert. Zonder die belofte durft een medewerker onder druk niet te bellen, en net daarop rekent de oplichter. Hang de regel op naast het scherm van wie betalingen uitvoert, en herhaal hem in elke teamvergadering over veiligheid.

Snelheid is alles. Bel onmiddellijk je bank en vraag om de overschrijving te blokkeren of terug te roepen; hoe verser de betaling, hoe groter de kans dat het geld nog niet is doorgesluisd. Doe daarna aangifte bij de lokale politie met schermafbeeldingen van het gesprek, het rekeningnummer en de tijdstippen.

Meld het bericht ook via de rapporteerfunctie van WhatsApp en stuur phishingberichten door naar verdacht@safeonweb.be, zodat de links en nummers geblokkeerd kunnen worden voor anderen. Is je eigen WhatsApp-account gekaapt, verwittig dan meteen je contacten via een ander kanaal en herstel je account via de officiële procedure met je simkaart.

En belangrijk voor de sfeer in je team: behandel het slachtoffer niet als de schuldige. Wie erin trapte, is misleid door een professioneel script. De les is procedureel, niet persoonlijk: het tweede kanaal ontbrak, dus dat voer je nu in.

Hoe makkelijker jouw bedrijf te imiteren valt, hoe geloofwaardiger elke valse vraag uit jouw naam. Een verzorgde website, een e-mailadres op eigen domein en correcte beveiligingsinstellingen maken het verschil tussen een doorzichtige truc en een overtuigende val. Benieuwd hoe jouw zaak er online voorstaat? Doe de gratis marketing scan en zie meteen waar je vertrouwensketen versterking kan gebruiken.