CEO-fraude kent vele gezichten

Ondernemers willen bezig zijn met zakendoen. Hun producten of diensten aan de man brengen en daar inkomsten uit genereren. Het is dan ook bijzonder zuur als fraudeurs kans zien een (groot) deel van die inkomsten naar zich toe te trekken. Het kennen van de risico’s en weten hoe te handelen helpt om die fraudeurs de voet dwars te zetten.

Betaalopdracht per mail

Bij het hoofd van de administratie komt een mailtje binnen van zijn hoogste baas met de vraag of hij snel een grote betaling kan doen. Omdat het om een geheime maar uiterst belangrijke deal gaat, wordt een beroep gedaan op de discretie van haar ondergeschikte. Bovendien is er sprake van haast en kunnen gewone procedures niet worden gevolgd.

De mailtjes blijken achteraf van oplichters te komen maar het kwaad is al geschied. Grote bedragen zijn overgemaakt naar buitenlandse rekeningen die vervolgens meteen zijn leeggehaald. Het bedrijf blijft achter met een zware financiële kater. Wereldwijd zijn op deze manier al duizenden bedrijven en instellingen benadeeld. Alleen al bij de Fraudehelpdesk werd in de afgelopen drie jaar 1,5 miljoen euro schade door deze fraude gemeld.

Bent u slachtoffer van CEO-fraude?

Neem direct contact op met uw bank. Mogelijk kunt u nog voorkomen dat (een deel van) uw geld wordt overgeboekt.

Bel met de Fraudehelpdesk: 088 – 786 73 72. Wij adviseren u over de overige te nemen stappen.

Voorkom CEO-fraude

Maak uw medewerkers attent op het bestaan van CEO-fraude;

Stel duidelijke procedures vast voor het doen van grote betalingen en wijk daarvan niet af. Denk aan een vier-ogen-principe;

Train uw medewerkers erop om in geval van gevoelige informatie of betalingen niet te replyen op een e-mail, maar het mailadres te selecteren uit de contactenlijst van het bedrijf;

Maak werknemers bewust van het feit dat een stem niet per se echt hoeft te zijn maar door criminelen gemanipuleerd kan zijn;

Laat werknemers na een telefonisch ontvangen betaalopdracht bellen met de veronderstelde leidinggevende via de intern bekende telefoonnummers;

Bekijk uw website en social media-accounts kritisch. Is het nodig de namen, functies en contactgegevens van alle medewerkers openbaar te maken?

Zorg dat uw e-mailbeveiliging op orde is.

Over deze fraude

De oplichters gaan geraffineerd te werk. Ze hebben voorafgaand aan hun actie de e-mailadressen van de CEO en van de functionaris op de financiële administratie achterhaald. Bronnen als de bedrijfswebsite of de social media worden daarvoor enthousiast door hen geraadpleegd.

Voor de fraude gebruiken ze een afzendadres dat zó veel op het originele adres van de baas lijkt, dat het de ontvanger niet opvalt. Of ze maken gebruik van e-mailspoofing, waarbij het lijkt alsof de mail van een bepaald afzendadres afkomstig is. Een enkele keer is er daadwerkelijk sprake van het hacken van een mailaccount.

Soms wordt, voorafgaand aan het verzoek een betaling te doen, een korte mailwisseling gevoerd. Bijvoorbeeld om te informeren of de financieel medewerker beschikbaar is of om te vragen of er nog voldoende saldo op een rekening staat.

Wanneer de administrateur bij een dochteronderneming of een buitenlands filiaal van een multinational werkt, zal hij de hoogste baas niet persoonlijk kennen. De afstand tussen beiden is zo groot, dat hij niet durft na te gaan of het verzoek wel klopt.

Of de persoon die hem benadert zet hem zo onder druk dat er geen tijd voor is. Soms ook kan de werknemer ter verificatie van de gegevens een advocatenkantoor bellen. Dit ‘advocatenkantoor’ zit in het complot.

Thuis werken

Een nieuwe ontwikkeling is het gebruik van virtuele overlegplatforms als bijvoorbeeld Teams of Zoom. Dergelijke platforms zijn in korte tijd populair geworden doordat wereldwijd heel veel mensen vanwege de corona-epidemie thuis of hybride zijn gaan werken. Op het platform presenteert de ‘CEO’ zich met een foto en geeft aan dat audio en video niet goed werken. Vervolgens gebruikt de oplichter het bijbehorende chat-kanaal om zijn handwerk uit te voeren.

Deepfaken, een gevaarlijke ontwikkeling

Deepfake – het digitaal nabootsen van mensen in beeld of geluid – wordt steeds krachtiger. Er zijn voorbeelden van CEO-fraude bekend waarbij fraudeurs een nagemaakte stem inzetten. Met slechts enkele minuten spraak is het met behulp van kunstmatige intelligentie namelijk mogelijk iemands stemgeluid volledig na te bootsen.

Dat betekent dat criminelen op basis van een enkel geluidsfragment iemand alles kunnen laten zeggen. Wall Street Journal meldde eerder dit jaar dat oplichters een Brits energiebedrijf 220.000 euro afhandig maakten met behulp van deze techniek.

De Britse CEO dacht dat hij een telefoontje kreeg van de hoogste baas van het moederbedrijf uit Duitsland. Hij moest met spoed een bedrag overmaken aan een Hongaarse leverancier. De nagebootste stem van de Duitse ‘CEO’ was niet van de echte stem te onderscheiden. Een dergelijke ‘aanvalstechniek’ wordt vishing genoemd (een combinatie van voice en phishing).

De gebruikte techniek is op dit moment nog erg duur, maar wordt steeds goedkoper. De dreiging van dit soort verfijnde aanvallen zal dan ook gaan toenemen naarmate de techniek ook beschikbaar wordt voor criminelen die niet over grote sommen geld beschikken. Securityspecialisten verwachten voor 2021 een grote toename van vishing.

Hoe herken ik CEO-fraude?

CEO-fraude is te herkennen aan de volgende eigenschappen:

Vaak wordt de nadruk gelegd op de gezagsverhouding; het betaalverzoek wordt als een opdracht gegeven.
De zogenaamde CEO benadrukt dat vertrouwelijkheid van groot belang is. De opdracht mag niet gedeeld worden met collega’s.
De medewerker wordt geprezen en belangrijk gemaakt. Hij/zij is uitgekozen om de opdracht uit te voeren vanwege zijn/haar uitzonderlijke kwaliteiten.
Het slagen van een transactie wordt op de schouders van een bepaalde medewerker gelegd. De druk wordt zo verhoogd.
De valse mails die deze nep-CEO’s sturen zijn meestal ook te herkennen aan het gebruik van een vals afzendadres. Heel vaak lijkt deze wel van het domein van het bedrijf te komen, maar is bijvoorbeeld een L vervangen door een hoofdletter i.
Tijdsdruk. Het geld moet snel overgemaakt worden.

In de afgelopen 5 jaar werd bij de Fraudehelpdesk
ruim 1.700 keer*
een melding gedaan van CEO-fraude.
In totaal werd voor ruim € 7 miljoen aan schade gemeld.

Deze pagina maakt deel uit van de campagne:
Laat bedrijfsfraude niet werken
Ontdek hoe je het herkent en laat je als ondernemer niet verrassen: