In de wereld van cybercriminaliteit maken criminelen steeds gebruik van meer geavanceerde technieken om bedrijven op te lichten. Een van de meest slinkse vormen van fraude is CEO fraude, ook wel bekend als Business Email Compromise (BEC). Deze vorm van oplichting richt zich niet op technische zwakheden, maar speelt in op menselijke fouten en vertrouwen. In dit artikel bespreken we wat CEO fraude precies is, hoe je het kunt herkennen en vooral hoe je jouw organisatie kunt beschermen. 

Wat is CEO fraude?

CEO fraude is een vorm van cybercriminaliteit waarbij criminelen zich voordoen als een hooggeplaatste medewerker, zoals de CEO of CFO van een bedrijf. Ze sturen valse e-mails of andere communicatie die lijkt te komen van de leidinggevende, met het verzoek om met spoed een betaling te doen of vertrouwelijke informatie door te sturen. Deze aanvallen zijn vaak goed voorbereid. Criminelen verzamelen informatie over het bedrijf en maken gebruik van details die publiekelijk beschikbaar zijn om hun verzoeken geloofwaardig te maken. 
 
De e-mails die door de aanvallers worden verstuurd, lijken vaak authentiek, met een e-mailadres dat bijna identiek is aan het echte adres van de leidinggevende. Ze zetten druk op de medewerkers om snel te handelen, waardoor er weinig tijd is om het verzoek te controleren. Dit maakt het des te moeilijker om te achterhalen of het verzoek echt is. 

Hoe herken je CEO fraude?

CEO fraude kan subtiel zijn, maar er zijn bepaalde signalen die kunnen helpen bij het herkennen van een poging tot fraude. Let op de volgende punten: 

• Urgentie en druk: Verzoeken worden vaak gepresenteerd als uiterst dringend, met de boodschap dat onmiddellijke actie nodig is zonder overleg. 

• Afwijkende communicatie: De toon en stijl van de communicatie kunnen anders zijn dan normaal, bijvoorbeeld formeler of informeler dan gebruikelijk. 

• Subtiele fouten: E-mailadressen kunnen kleine afwijkingen bevatten, zoals een andere domeinnaam of een typo, die gemakkelijk over het hoofd worden gezien. 

• Onbekende betalingsrekeningen: Er wordt vaak gevraagd om geld over te maken naar onbekende of buitenlandse rekeningen zonder voorafgaande uitleg. 

CEO fraude aanvallen: wat kan er fout gaan?

Een medewerker van de financiële afdeling, laten we haar Anna noemen, zit op een drukke maandagochtend aan haar bureau. Terwijl ze door haar e-mails scrolt, valt haar oog op een bericht van haar CEO. Het onderwerp: "DRINGEND: Vertrouwelijke transactie." In de e-mail vraagt de CEO haar om onmiddellijk €100.000 over te maken naar een buitenlandse rekening voor een belangrijke zakelijke deal die voor het einde van de dag afgerond moet zijn. De toon is dringend en Anna twijfelt geen moment. Dit soort verzoeken komen niet vaak voor, maar ze weet dat ze haar leidinggevende niet wil teleurstellen. Ze voert de betaling uit zonder na te denken over extra verificatie. Pas dagen later, als de echte CEO verbaasd vraagt naar de transactie, beseft Anna dat ze in een val is gelopen. De €100.000 is verdwenen naar een frauduleuze rekening en het is te laat om het terug te halen. 

In een ander voorbeeld ontvangt Mark, een HR-medewerker, een onverwachte e-mail van zijn CFO. Het onderwerp: "Belangrijke audit – dringend personeelsgegevens nodig." wekt het vermoeden dat hier snel gehandeld moet worden.  De CFO vraagt hem om alle personeelsdossiers door te sturen voor een aankomende interne audit.  Mark twijfelt even, maar vertrouwt erop dat het verzoek legitiem is. Hij verzamelt de gevoelige gegevens – salarissen, adressen, en burgerservicenummers – en stuurt ze door. Later, tijdens een overleg met de CFO, komt het verzoek ter sprake. De CFO kijkt verbaasd. Hij heeft nooit om die gegevens gevraagd. Mark realiseert zich met een schok dat hij het slachtoffer is geworden van CEO-fraude, en dat de gegevens nu in de verkeerde handen zijn gevallen. 

Bovenstaande voorbeelden illustreren hoe makkelijk het is om onder druk te bezwijken voor wat op het eerste gezicht een legitiem verzoek lijkt, maar dat uiteindelijk grote schade aanricht. 

Hoe kun je CEO fraude voorkomen?

Het voorkomen van CEO fraude begint met bewustwording en voorbereiding. Hier zijn enkele effectieve maatregelen: 

1. Verificatieprocessen: Zorg ervoor dat belangrijke verzoeken altijd worden gecontroleerd. Als er een verzoek binnenkomt voor een betaling of het verstrekken van gevoelige informatie, neem dan altijd extra stappen om te verifiëren. Dit kan door telefonisch contact op te nemen met de vermeende afzender of door het verzoek persoonlijk te bespreken met de leidinggevende. 
2. Meerlaagse autorisatie: Implementeer een systeem waarbij meerdere personen betrokken zijn bij de goedkeuring van grote betalingen. Dit voegt een extra laag van controle toe en helpt voorkomen dat frauduleuze transacties worden uitgevoerd. 
3. E-mailbeveiliging: Gebruik e-mailbeveiligingssystemen zoals DMARC, SPF en DKIM om valse e-mails te detecteren en te blokkeren. Deze systemen helpen bij het verifiëren van de authenticiteit van inkomende e-mails. 
4. Tweestapsverificatie: Stel tweestapsverificatie in voor toegang tot de e-mailaccounts van leidinggevenden. Dit maakt het moeilijker voor criminelen om toegang te krijgen tot deze accounts en vermindert het risico van fraude.

Wat te doen als je slachtoffer wordt?

Als je ondanks alle voorzorgsmaatregelen toch slachtoffer wordt van CEO fraude, is het van cruciaal belang om snel en doeltreffend te handelen. Neem onmiddellijk contact op met je bank om te proberen de verdachte transactie te blokkeren. Door snel te handelen, kun je mogelijk voorkomen dat het geld verloren gaat. Het is ook belangrijk om het incident te melden bij de politie en relevante toezichthouders, zoals cybersecurityorganisaties, om verdere schade te beperken en mogelijke vervolgstappen te coördineren. 

Daarnaast moet je een intern onderzoek starten om te begrijpen hoe de fraude heeft kunnen plaatsvinden. Dit helpt bij het identificeren van zwakke plekken in je beveiliging en stelt je in staat om maatregelen te nemen om deze te verbeteren. Informeer ook je medewerkers over het incident en zorg ervoor dat ze op de hoogte zijn van de situatie, zodat ze extra alert kunnen zijn op verdachte verzoeken en situaties in de toekomst kunnen herkennen en voorkomen. 

Conclusie

CEO fraude is een geavanceerde vorm van cybercriminaliteit die zich richt op menselijke fouten en vertrouwen binnen een bedrijf. Het voorkomen van deze fraude vereist een combinatie van bewustwording, effectieve verificatieprocessen, technische beveiligingsmaatregelen en een snelle reactie bij incidenten. Door medewerkers goed te trainen, duidelijke protocollen te implementeren en de juiste technologie in te zetten, kun je de risico’s van CEO fraude aanzienlijk verminderen en je organisatie beter beschermen tegen deze geavanceerde vorm van oplichting. 

Heb je vragen, opmerkingen of behoefte aan verdere ondersteuning bij het beschermen van je organisatie tegen CEO fraude? Neem gerust contact op met Roy Verbroekken voor deskundig advies en hulp.