CEO-fraude: typisch scenario en dubbele validatie

CEO-fraude is een oplichting waarbij een beller zich voordoet als de bestuurder of als een leverancier. Hij vraagt om een dringende, vertrouwelijke overschrijving naar een rekening die hij zelf beheert. In Frankrijk spreekt men van ‘faux ordres de virement’ (FOVI). Voor boekhoud- en treasuryteams komt de remedie neer op één regel: geen onverwachte overschrijving en geen wijziging van het rekeningnummer zonder onafhankelijke validatie.

Dit artikel beschrijft een typisch scenario, de varianten, de procedure voor dubbele validatie en de zinnen die u tegen de beller kunt zeggen.

Wat is CEO-fraude?

De Franse instantie Cybermalveillance.gouv.fr definieert de oplichting met valse betaalopdrachten als een zwendel die erop gericht is een niet-geplande overschrijving te laten uitvoeren. Daarbij worden overtuiging, bedreigingen of andere vormen van druk gebruikt. Wordt het verzoek voorgesteld als afkomstig van een bestuurder, met een ‘dringend en vertrouwelijk’ karakter, dan spreekt men van CEO-fraude (in het Frans ‘arnaque au Président’).

De fiche preciseert dat deze oplichting meestal per telefoon, per elektronisch bericht of via beide wordt gepleegd. Ze treft alle soorten organisaties. De bankrekening van de oplichter bevindt zich vaak in het buitenland.

In haar jaarverslag 2025 stelt Cybermalveillance.gouv.fr vast dat de overschrijvingsfraude toeneemt (+170 %). Ze heeft zich uitgebreid naar elektronische facturatie en loonbeheer.

Een typisch scenario van CEO-fraude per telefoon

Hier is een scenario dat het mechanisme illustreert. Het beschrijft geen echt geval.

Stel een crediteurenadministrateur, op vrijdag om 16.30 uur. Haar telefoon gaat. De beller stelt zich voor als de algemeen directeur, onderweg: ‘Ik zit in een vertrouwelijke afspraak, er is een overname aan de gang. Ik heb vandaag nog een overschrijving nodig, vóór de bank sluit. Ik mail u de gegevens.’

Hij voegt toe: ‘Praat er met niemand over, ook niet met de financieel directeur. Ik reken op u.’ Enkele minuten later komt er een e-mail binnen met de bankgegevens en een valse goedkeuring.

Alle hefbomen zijn aanwezig:

• het gezag van de bestuurder;
• de urgentie van het sluitingsuur;
• de vertrouwelijkheid, die het slachtoffer isoleert van haar collega's;
• de vleierij: ‘ik reken op u’.

Die drijfveren worden geanalyseerd in ons artikel over de hefbomen van social engineering.

De varianten: nepleverancier, wijziging van rekeningnummer, nepmedewerker

De fiche van Cybermalveillance.gouv.fr beschrijft twee andere varianten.

• De nepleverancier: de oplichter doet zich voor als een leverancier om nieuwe bankgegevens door te geven, waarop een betaling moet worden gedaan.
• De nepmedewerker: de oplichter doet zich voor als een werknemer om de bankgegevens te laten wijzigen waarop zijn loon wordt gestort.

De nepleverancier is vaak discreter dan de valse bestuurder. Het gesprek is alledaags: ‘We zijn van bank veranderd, hier is ons nieuwe rekeningnummer.’ Niets is dringend, niets is vertrouwelijk. Het is de routine die de waakzaamheid in slaap sust.

In sommige gevallen volgt de fraude op het hacken van de mailbox van de nagebootste persoon, waardoor de uitwisseling zeer geloofwaardig wordt. De telefoon dient dan om het verzoek te bevestigen, op basis van echte informatie.

De procedure voor dubbele validatie

De fiche beveelt een interne hiërarchische validatieprocedure aan waarvan niet mag worden afgeweken. Ze richt zich op onverwachte overschrijvingsverzoeken en wijzigingen van bankgegevens. Zo kunt u ze invullen.

1. Het verzoek beoordelen. Elke onverwachte overschrijving, elke wijziging van rekeningnummer en elk ‘vertrouwelijk’ verzoek activeert de procedure.
2. Terugbellen. De boekhouder belt de aanvrager terug op een nummer dat de organisatie al kent, nooit het nummer dat de beller opgaf of dat in de ontvangen e-mail staat.
3. Een tweede persoon laten valideren. Een andere bevoegde medewerker controleert het verzoek vóór uitvoering, ook als het van een bestuurder komt.
4. Vastleggen. Het tijdstip, het getoonde nummer, de opgegeven naam en wat er werd gevraagd worden genoteerd.
5. Uitvoeren of weigeren. Bij twijfel schort u op en waarschuwt u de verantwoordelijke voor beveiliging.

De Franse gegevensbeschermingsautoriteit CNIL adviseert van haar kant om de bekende contactpersonen van het bedrijf dat het verzoek doet, telefonisch of persoonlijk te contacteren. Ze raadt ook aan de procedures regelmatig bij de teams in herinnering te brengen, want een vergeten regel wordt niet meer toegepast.

Het terugbellen is het centrale gebaar. Het wordt uitvoerig uitgelegd in ons artikel over de terugbelprocedure via een onafhankelijk kanaal.

De signalen die de procedure moeten activeren

Geen van deze signalen bewijst fraude. Samen rechtvaardigen ze de overstap naar verificatie.

• De overschrijving was niet gepland en heeft geen bijbehorende bestelbon.
• De begunstigde is nieuw, of de rekening staat zonder aanwijsbare reden in het buitenland.
• Het verzoek is ‘dringend en vertrouwelijk’ en sluit de gebruikelijke collega's uit het circuit uit.
• De beller weigert teruggebeld te worden of stelt voor aan de lijn te blijven tijdens de handeling.
• De begeleidende e-mail komt van een adres dat lijkt op het gebruikelijke adres, maar er niet identiek aan is.

De CNIL beschrijft hetzelfde patroon langs de e-mailkant: een dringend verzoek, zogenaamd van hogerhand goedgekeurd. Het domein lijkt vaak op dat van het bedrijf.

Waarom ervaren boekhouders toegeven

Het is geen gebrek aan vakbekwaamheid. De boekhouder die het telefoontje krijgt, zit in een ongemakkelijke positie. Ze moet een bestuurder weigeren, riskeert een strategische operatie te vertragen en moet alleen beslissen. De oplichter speelt precies in op die angst om iets verkeerd te doen.

De gevraagde vertrouwelijkheid is de sleutel van de opzet. Ze verhindert dat het slachtoffer erover praat met een collega, die de zwendel misschien in dertig seconden had herkend. Daaruit volgt een eenvoudige regel: elk verzoek dat verbiedt erover te praten, moet met de leidinggevende worden gedeeld.

Om die regel te laten standhouden, moet de directie hem duidelijk uitspreken. Een boodschap als ‘niemand in het bedrijf, ikzelf inbegrepen, mag u om een overschrijving buiten de procedure vragen’ beschermt de teams. Ze geeft hun toestemming om te weigeren nog vóór het telefoontje komt.

Wat zegt u tegen de beller zonder hem te kwetsen

De moeilijkheid is sociaal. Het is lastig om een bestuurder iets te weigeren, zeker per telefoon. De regel moet de medewerker dus een zin geven die de persoon niet in twijfel trekt.

‘Voor elke overschrijving buiten de procedure moet ik een dubbele validatie doen. Ik bel u over vijf minuten terug op uw gebruikelijke lijn.’

‘Ik begrijp de urgentie. De regel geldt voor alle overschrijvingen, en is vastgesteld door de directie.’

‘Voor een nieuw rekeningnummer heb ik een schriftelijke bevestiging nodig en een telefoontje naar uw gebruikelijke contactpersoon.’

Een echte bestuurder keurt deze zinnen goed, want hij heeft de procedure ondertekend. Een fraudeur protesteert, vleit of dreigt. Ons artikel over hoe u onder druk nee zegt aan de telefoon werkt deze technieken uit.

Als de overschrijving al is vertrokken

Elk uur telt. Cybermalveillance.gouv.fr beveelt de volgende stappen aan.

1. Alle uitgevoerde, hangende of komende overschrijvingen naar de oplichter in kaart brengen en de leidinggevenden en de boekhouddienst waarschuwen.
2. De opschorting van de overschrijving vragen als ze nog niet is uitgevoerd.
3. De bank waarschuwen om de terugkeer van de gelden te vragen. De bank kan om een aangifte vragen.
4. De bewijzen bewaren: telefoonnummers, berichten, betaalopdrachten, facturen.
5. Het wachtwoord van de mailbox wijzigen als die gehackt kan zijn.
6. Aangifte doen bij de politie.

Om te weten wat u tijdens het gesprek moet onthouden, zie ons overzicht voor het melden van een beveiligingsincident.

Boekhoudteams trainen om de procedure vol te houden

Een opgeschreven procedure garandeert niet dat ze onder druk wordt toegepast. De medewerker die ‘de algemeen directeur’ aan de lijn hoort, handelt anders dan op het moment dat ze de instructie leest. Mondelinge oefening overbrugt dat verschil.

Met Face Up schrijft een trainer het scenario op basis van zijn eigen gevallen. De lerende spreekt met een persona die de valse bestuurder speelt, met zijn aandringen, en moet de procedure live toepassen. De debriefing geeft haar eigen zinnen terug. Ze kan opnieuw spelen tot ze de weigering volhoudt. Deze aanpak wordt beschreven in onze gids voor security awareness training.

Veelgestelde vragen

Wat is het verschil tussen CEO-fraude en een nepleverancier?

In het eerste geval doet de oplichter zich voor als bestuurder en creëert hij urgentie. In het tweede geval doet hij zich voor als leverancier en vraagt hij om een nieuw rekeningnummer, vaak zonder zichtbare urgentie. Het resultaat is identiek: een overschrijving naar een rekening van de oplichter.

Is een dubbele validatie voldoende?

Ze is doeltreffend als de tweede validator het verzoek echt controleert via een onafhankelijk kanaal. Als beide personen op dezelfde e-mail of hetzelfde telefoontje vertrouwen, wordt de dubbele validatie een louter stempel.

Wordt CEO-fraude gestraft?

Ja. Volgens Cybermalveillance.gouv.fr is oplichting in Frankrijk strafbaar met vijf jaar gevangenisstraf en 375 000 euro boete. De poging wordt met dezelfde straffen bestraft (artikelen 313-1 en 313-3 van de Franse Code pénal).

Wilt u deze procedure laten oefenen door uw treasury- en boekhoudteams? Vraag een demo van Face Up aan.