Stel je voor dat deze mail binnenkomt: "Hoi Sandra, ik zit in een bestuursvergadering en kan mijn telefoon niet pakken. Kun jij dringend €42.500 overmaken naar dit rekeningnummer? Is voor een overname die vandaag moet rond. Houd het even stil, vertel je collega's er later over."
Sandra, een verzonnen medewerker van een verzonnen groothandel, heeft dit soort verzoeken vaker gekregen van haar directeur. Ze maakt het bedrag over. Pas de volgende dag ontdekt ze dat de mail niet van haar directeur was. Het voorbeeld is verzonnen, de truc is echt.
Hoe CEO-fraude werkt
CEO-fraude, ook wel Business Email Compromise (BEC) genoemd, gaat vaak om grote bedragen. Het hoogste schadebedrag bij CEO-fraude dat de Fraudehelpdesk in 2025 binnenkreeg, was €121.000 (Terugblik 2025). In de VS leidde deze vorm van fraude in 2025 tot ruim 3 miljard dollar aan gemelde schade (FBI IC3, 2025). Criminelen doen zich voor als een directeur, eigenaar of CFO en manipuleren medewerkers om geld over te maken of vertrouwelijke informatie te delen.
Ze zijn goed voorbereid. Voor ze contact opnemen, bestuderen ze je bedrijf:
- LinkedIn om namen en functies te leren kennen
- Je website voor namen van directie en management
- Sociale media voor reisplannen ("De CEO is volgende week op vakantie in Italië: perfect moment")
- Eerdere e-mails als ze al toegang hebben tot je mailbox via een eerdere phishingaanval
Het resultaat: een mail die er exact uitziet als een bericht van je baas. Zelfde schrijfstijl, vanaf een adres dat één letter afwijkt, of zelfs vanuit het echte, overgenomen account.
Voorbeelden van CEO-fraude
De spoedoverboeking: urgentie, geheimhouding, een zakelijk verhaal. De combinatie werkt verrassend goed, zeker als de CEO niet bereikbaar is.
De nepfactuur: een leverancier "meldt" dat zijn rekeningnummer is gewijzigd. Voortaan moet je betalen naar een ander account. Dat account is van de crimineel.
De valse salariswijziging: een medewerker van HR krijgt een mail van "een collega" met het verzoek het salarisrekeningnummer te wijzigen. De volgende salarisronde gaat het salaris naar de crimineel.
Waarom dit zo goed werkt
Mensen willen hun baas niet teleurstellen. Ze willen niet traag overkomen. Ze willen behulpzaam zijn. Criminelen misbruiken precies die eigenschappen.
Bovendien: als de mail eruit ziet als van je directeur, je naam bevat en een aannemelijk verhaal heeft, waarom zou je dan twijfelen?
De Fraudehelpdesk ontving in 2025 327 meldingen van CEO-fraude, tegen 247 in 2024 (Terugblik 2025). Het werkelijke aantal ligt waarschijnlijk hoger, omdat lang niet elk bedrijf fraude meldt.
Hoe je het herkent
Een paar signalen die altijd reden zijn voor extra verificatie:
- Urgentie gecombineerd met geheimhouding: "Doe het snel en vertel het niemand" is een klassiek manipulatiemiddel
- Afwijkend rekeningnummer: bel bij elke wijziging terug via een nummer dat je al kent
- De mail klopt maar het gevoel niet: vertrouw dat gevoel
- Verzoek buiten normale procedures om: "Sla de normale goedkeuring even over"
Tip: Controleer het e-mailadres altijd tot op de letter. ceo@jouwbedrijf.nl versus ceo@jouwbedrijf-nl.com: het verschil is minimaal, de gevolgen zijn dat niet.
Bescherm je financiële administratie
Technische maatregelen zoals e-mailbeveiliging die nagemaakte afzenders en nepfacturen onderschept helpen, maar procedures zijn minstens zo belangrijk:
- Vier-ogen-principe voor alle betalingen boven een bepaald bedrag
- Telefonische verificatie bij elke wijziging van rekeningnummers, via een nummer dat je zelf opzoekt, niet het nummer in de mail
- E-mail authenticatie via DMARC, DKIM en SPF: dit maakt het moeilijker om jouw domein te spoofen. Check hoe jouw domein ervoor staat.
- Security awareness training: medewerkers die weten hoe het werkt, zijn veel moeilijker te misleiden
Het NCSC, waar het Digital Trust Center in is opgegaan, legt uit hoe CEO-fraude werkt en hoe je het voorkomt.
Wat als het al is gebeurd?
Handel snel. Neem direct contact op met je bank: binnen enkele uren is terugboeken soms nog mogelijk. Doe aangifte bij de politie. Meld het bij de Fraudehelpdesk. Controleer of het mailaccount is overgenomen met dit stappenplan. En analyseer hoe het kon gebeuren, zodat je het voorkomt in de toekomst.
Wil je weten hoe goed jouw bedrijf beschermd is tegen dit soort aanvallen? Plan een gratis demo, dan laten we je zien welke technische en organisatorische maatregelen het verschil maken. Benieuwd hoe je team op een nepmail reageert? Een phishingsimulatie laat het zien. Meer lezen over onze aanpak? Bekijk onze diensten.
