Factuurfraude en phishing: 5 afspraken voor kantoren

Een leverancier mailt dat hij van bank veranderd is en vraagt om de openstaande factuur op een nieuw rekeningnummer te betalen. De mail ziet er echt uit, de factuur ook. Op een boekhoud- of advocatenkantoor, waar elke dag betalingen en facturen passeren, is dat precies het moment waarop factuurfraude toeslaat. Het goede nieuws: met een paar vaste afspraken op kantoor maak je het fraudeurs een pak moeilijker.

Hoe factuurfraude en CEO-fraude werken

Bij factuurfraude krijg je een factuur of betalingsverzoek dat lijkt te komen van een vaste leverancier of klant, maar met het rekeningnummer van de fraudeur. Soms is de factuur volledig nagemaakt, soms is een echte factuur aangepast. DNS Belgium beschrijft het typische scenario: een medewerker op de boekhouding krijgt een mail "van de leverancier" die van bank veranderd zou zijn, betaalt, en het geld is weg.

Bij CEO-fraude doet iemand zich voor als de zaakvoerder of een vennoot en vraagt dringend en "vertrouwelijk" om een grote overschrijving. Volgens Febelfin spelen fraudeurs daarbij bewust op tijdsdruk en geheimhouding.

Beide vormen beginnen meestal met phishing: een mail die je laat klikken, inloggen of betalen. En als een mailbox echt gehackt is, komt de valse mail soms van het échte adres van je leverancier. Daarom volstaat "de afzender ziet er juist uit" niet als controle.

De 5 afspraken

Techniek helpt, maar factuurfraude stop je vooral met afspraken die iedereen op kantoor kent en volgt. Schrijf ze op één A4 en hang ze bij wie de betalingen doet.

1. Een nieuw rekeningnummer bevestig je altijd telefonisch. Bel de leverancier of klant op een nummer dat je al kende: uit je eigen klantenbestand, een oud contract of de website. Nooit op het nummer uit de mail of de factuur zelf. Febelfin raadt precies dat aan: bel het bedrijf "via het nummer dat al bestaat in je database".
2. Vergelijk het rekeningnummer met wat je al hebt. Leg het rekeningnummer op de factuur naast dat op de bestelbon, het contract of je vorige betalingen in je bankapp. Hou per leverancier het gekende rekeningnummer bij, zodat een afwijking meteen opvalt.
3. Dringend en geheim is een alarmsignaal, geen reden om sneller te gaan. Vraagt "de zaakvoerder" of "de vennoot" per mail om vandaag nog discreet een groot bedrag over te schrijven? Bel die persoon terug op een nummer dat je kent. Geen enkele echte collega neemt het je kwalijk dat je even belt.
4. Grote of afwijkende betalingen keuren twee mensen goed. Spreek een bedrag af waarboven een tweede persoon meekijkt, en laat die tweede goedkeuring niet door dezelfde persoon zetten. Ook dat staat in het advies van Febelfin. Op een kantoor met twee of drie mensen werkt dat net zo goed: de ene bereidt voor, de andere keurt goed.
5. Bescherm de mailboxen en meld wat verdacht is. Zet tweestapsverificatie aan op alle mailboxen, zodat een gestolen wachtwoord niet volstaat om binnen te raken. Stuur verdachte mails door naar suspicious@safeonweb.be: het Centrum voor Cybersecurity België controleert de links en laat gevaarlijke links blokkeren. DNS Belgium vraagt ook om pogingen te melden als je er niet ingetrapt bent.

Hoe je tweestapsverificatie instelt, lees je in het stappenplan voor Microsoft 365.

Wat als het toch misgaat?

Snelheid is alles. Merk je dat je een betaling deed naar een vals rekeningnummer:

• Bel meteen je bank. Hoe sneller, hoe groter de kans dat de bank de betaling nog kan tegenhouden of terughalen.
• Dien klacht in bij de politie en hou de mails en facturen bij als bewijs.
• Laat de mailbox nakijken. Wijzig het wachtwoord, zet tweestapsverificatie aan en controleer of er geen verborgen doorstuurregels of regels die mails verplaatsen zijn ingesteld. Dat is een klassiek trucje om je antwoorden te onderscheppen.
• Verwittig de leverancier of klant in wiens naam de valse mail kwam. Misschien is hun mailbox gehackt en zijn er nog slachtoffers.

Wat betekent dit voor jouw kantoor?

Neem een boekhoudkantoor in Merelbeke met drie medewerkers. Iedereen kan in de bankapp en de facturen komen binnen in één gedeelde mailbox. Er is geen kwade wil nodig om het fout te laten lopen: één drukke vrijdag, een mail "van" een vaste leverancier met een nieuw rekeningnummer, en de betaling is vertrokken.

Met de vijf afspraken ziet dezelfde vrijdag er anders uit. De medewerker ziet een nieuw rekeningnummer, belt de leverancier op het gekende nummer en hoort dat er niets veranderd is. De mail gaat naar Safeonweb, en wie de mailbox beheert, kijkt na of er iets verdachts aan de gedeelde mailbox hangt.

Voor een advocatenkantoor, waar ook geld van cliënten passeert, geldt hetzelfde, maar staat er nog meer op het spel: naast het geld ook het vertrouwen van je cliënten. Een vaste belafspraak bij elke wijziging van rekeningnummer is daar een kleine moeite.

De afspraken kosten niets. Wat wel tijd vraagt, is de technische kant: tweestapsverificatie op elke mailbox, de mailinstellingen nakijken en weten wie wat mag in de bankapp. Dat is werk dat je één keer goed zet.

Veelgestelde vragen

Mijn leverancier stuurt al jaren facturen per mail. Moet ik nu elke factuur nabellen? Nee. Bellen doe je wanneer er iets verandert: een nieuw rekeningnummer, een ongewone vraag of een dringende betaling buiten het normale ritme. Gewone facturen met het gekende rekeningnummer betaal je zoals altijd.

De mail kwam echt van het adres van de leverancier. Kan die dan toch vals zijn? Ja. Als de mailbox van de leverancier gehackt is, komt de valse mail van het echte adres. Daarom bevestig je een nieuw rekeningnummer altijd via een ander kanaal, zoals de telefoon.

Helpt tweestapsverificatie tegen factuurfraude? Ze helpt tegen één belangrijk deel: dat iemand met een gestolen wachtwoord in jouw mailbox raakt en van daaruit mails verstuurt of meeleest. Tegen een valse factuur die van buitenaf binnenkomt, helpen vooral de afspraken uit dit artikel.

Wil je weten hoe jouw kantoor ervoor staat? Vraag een gratis IT-scan aan, dan kijken we samen naar je mailboxen en afspraken.