Phishing-mail bedrijf herkennen: CEO-fraude en spoofing
CEO-fraude en gespoofde leveranciers zijn de duurste vorm van digitale fraude voor MKB — gemiddeld €18.000 per geval. In deze gids: hoe herken je een phishing-mail vóórdat je klikt of betaalt, en welk verificatie-protocol beschermt je administratie.
Twijfel over een bedrijf?
Check de tegenpartij via KvK-nummer of bedrijfsnaam — direct antwoord op actief/faillissement/adres.
De drie hoofdvarianten
- CEO-fraude: mail 'van de directeur' met spoedopdracht voor betaling of gegevens.
- Leveranciersspoofing: bestaande leverancier meldt 'nieuw IBAN'.
- Klant-phishing: nepklant vraagt om inloggegevens portaal of factuur-PDF met kwaadaardige link.
Verificatie-protocol dat werkt
Grote fraudeschades ontstaan bijna altijd doordat er geen protocol was. Minimum: elke wijziging in bank/IBAN vereist telefonische bevestiging via een vooraf bekend contactnummer. Niet het nummer uit de e-mail. Bij betalingen >€10k: dubbele goedkeuring en 24 uur wachttijd.
Technische signalen
1) Volledig afzenderadres bekijken (klik op naam). 2) Domeinnaam letterlijk vergelijken met bekende domein — kijk op typfouten en cyrillische letters. 3) SPF/DMARC-fails (in Outlook/Gmail meestal zichtbaar als 'via'-labeltje). 4) Reply-to wijkt af van from-adres.
Rode vlaggen
- Spoedaanvraag: 'binnen 2 uur betalen'
- Wijziging in bekend IBAN zonder brief per post
- Verzoek om vertrouwelijkheid ('niet delen met collega's')
- Timing: vrijdagmiddag of vlak voor vakantie
- Afzendernaam klopt maar e-mailadres wijkt af (typfout in domein)
- Link in mail leidt naar login-pagina die eruit ziet als O365/Google
- PDF-bijlage van 'factuur' met macro-vraag
- Directeur/CFO die normaal nooit mailt over betalingen
Veelgestelde vragen
Wat is CEO-fraude precies?
E-mail zogenaamd van directeur, CFO of eigenaar met verzoek om een spoedbetaling naar een nieuw rekeningnummer. Vaak vlak voor weekend of vakantie. Gemiddelde schade: €18.000 (Fraudehelpdesk 2024).
Hoe kan een afzendernaam kloppen als het toch phishing is?
Spoofing: de zichtbare naam kan iedereen invoeren. Klik op de afzender en bekijk het volledige e-mailadres — is dat @jouwbedrijf.nl of @jouwbedryf.nl (kleine typfout)?
Onze CEO belt echt niet om te bevestigen — wat nu?
Spreek intern een verificatie-protocol af: elke betaling >€2.500 naar nieuw IBAN vereist telefonische bevestiging via een vooraf bekend nummer (niet uit de e-mail). Ondertekenen door 2 personen boven €10k.
Is een verzekering mogelijk?
Ja — een cyberpolis of fraudeverzekering dekt CEO-fraude vaak tot €50k-€250k, mits je aantoont dat je een verificatie-protocol had. Zonder protocol vervalt de dekking meestal.