Zakelijke e-mailfraude, of BEC, is een van de duurste vormen van fraude waarmee bedrijven te maken krijgen. In tegenstelling tot phishing die tegelijk naar duizenden mensen wordt verstuurd, is BEC gericht. Criminelen doen onderzoek naar een bedrijf, brengen in kaart wie betalingen goedkeurt en stellen berichten op die er volledig echt uitzien.
Vaak is er geen malware en is er geen duidelijke hack. De fraude werkt omdat iemand die wordt vertrouwd, wordt overgehaald om een betaling goed te keuren of gevoelige informatie te delen — daarom wordt BEC vaak fraude van vertrouwen genoemd in plaats van fraude van technologie.
Dit kan elk bedrijf overkomen, ongeacht de omvang. Grotere organisaties zijn aantrekkelijk vanwege de hogere transactiebedragen, maar kleinere bedrijven worden vaak juist doelgericht aangevallen omdat ze minder formele controles hebben.
Hoe het werkt
De fraude begint meestal al lang voordat er een betalingsverzoek verschijnt. Criminelen verzamelen informatie van openbare websites, sociale media, bedrijfsaankondigingen, relaties met leveranciers en organisatieschema's. Zo bouwen ze een beeld op van hoe betalingen worden goedgekeurd en door wie.
Vervolgens maken ze een overtuigend e-mailadres aan, krijgen ze toegang tot een echte mailbox of doen ze zich voor als iemand die al bij een echte transactie betrokken is. Omdat de e-mail eruitziet als onderdeel van de dagelijkse bedrijfsvoering, wordt het betalingsverzoek vaak zonder nadere controle uitgevoerd.
Bij sommige aanvallen worden valse facturen gebruikt. Bij andere wordt gevraagd om de bankgegevens van een leverancier te wijzigen. In geavanceerdere gevallen lezen fraudeurs wekenlang echte e-mailgesprekken mee voordat ze op het meest overtuigende moment toeslaan.
Hoe dit eruit kan zien
Een financieel team verwacht een factuur van een vaste leverancier. Een paar dagen voordat de factuur moet worden betaald, komt er een e-mail binnen waarin staat dat de leverancier zijn bankgegevens heeft gewijzigd. De timing klopt, de formulering klinkt vertrouwd en het verzoek lijkt redelijk — dus de betaling wordt uitgevoerd.
Weken later neemt de echte leverancier contact op met de vraag waarom de factuur nog niet is betaald. Dan ontdekt het bedrijf dat het geld in plaats daarvan naar een crimineel is gegaan. De fraude werkte omdat deze naadloos opging in een normaal bedrijfsproces.
Waarom deze scam werkt
BEC slaagt door menselijk gedrag, niet door technologie. Fraudeurs maken misbruik van vertrouwen, routine en urgentie — wanneer een verzoek in een bekend patroon past, voelt het vanzelf minder risicovol.
Medewerkers zijn niet onzorgvuldig. Ze verwerken wat eruitziet als een gewone transactie, precies omdat de fraudeur wil dat het er zo uitziet.
Je bedrijf beschermen
De sterkste verdediging is onafhankelijke verificatie. Wijzig betalingsinstructies nooit alleen op basis van informatie in een e-mail — bevestig elke wijziging via contactgegevens die je al in je administratie hebt staan, en niet via de gegevens die in het verzoek zelf worden vermeld.
Andere controles die helpen:
- Goedkeuring door twee personen voor betalingen
- Scheiding van verantwoordelijkheden
- Betalingslimieten
- Procedures voor leveranciersverificatie
- Training in fraudebewustzijn
- Een escalatieproces voor ongebruikelijke verzoeken
Fraudepreventie werkt het best wanneer deze controles samenwerken en niet afzonderlijk worden toegepast.
Belangrijkste punt
Een betalingsverzoek kan er volledig legitiem uitzien en toch frauduleus zijn. Vertrouwen mag verificatie nooit vervangen.
Gerelateerde artikelen
- Wat is factuurfraude?
- Wat is leveranciersfraude?
- Wat is CEO-fraude?
- Hoe kunnen bedrijven zichzelf beschermen tegen betalingsfraude?