CEO-fraude en factuurfraude: zo controleer je een e-mailafzender

Kort antwoord

Business email compromise (BEC), in Nederland vaak CEO-fraude of factuurfraude genoemd, is oplichting waarbij criminelen e-mails sturen die van je baas, een leverancier of een advocaat lijken te komen, met het verzoek te betalen of bankgegevens te wijzigen. Controleer het echte adres en domein letter voor letter, zoek naar “pass” bij SPF, DKIM en DMARC in de berichtdetails, en doe niets met een betaalverzoek tot je de persoon hebt gebeld op een nummer dat je al had. Heb je betaald, bel dan direct je bank en meld het.

Belangrijke cijfers

$3,05 miljardverloren aan business email compromise, gemeld bij de FBI in 2025, verdeeld over 24.768 klachtenFBI IC3 2025 Internet Crime Report
$679 miljoenbevroren voor slachtoffers door het Recovery Asset Team van de FBI in 2025, een slagingspercentage van 58% op $1,16 miljard aan meldingenFBI IC3 2025 Internet Crime Report
£41,3 miljoenverloren aan factuur- en machtigingsfraude in het VK in 2025, verdeeld over 2.305 zakenUK Finance Annual Fraud Report 2026
$55,5 miljardaan blootgelegde BEC-verliezen wereldwijd van oktober 2013 tot december 2023, verdeeld over 305.033 incidentenFBI IC3 PSA, september 2024

Er komt een e-mail binnen van een leverancier die je elke maand betaalt. Ze zijn overgestapt naar een andere bank, en de volgende factuur moet naar de nieuwe rekening. Of je directeur mailt vanaf een vliegveld: een dringende, vertrouwelijke betaling moet vandaag nog de deur uit. De naam klopt, de toon klopt en het logo klopt. De vraag is of de persoon van wie je denkt dat hij de mail stuurde, dat ook echt deed, of dat je naar CEO-fraude of factuurfraude kijkt.

Dit is business email compromise (BEC), in Nederland meestal CEO-fraude of factuurfraude genoemd, en het is een van de duurste misdrijven die de FBI bijhoudt. Bedrijven en particulieren meldden in 2025 $3,05 miljard aan BEC-verliezen, verdeeld over 24.768 klachten bij het Internet Crime Complaint Center van de FBI. De oplossing is simpel maar streng: een paar checks op de e-mail, en een terugbelregel die niemand overslaat.

Wat is business email compromise (CEO-fraude)?

Business email compromise is oplichting waarbij criminelen zich per e-mail voordoen als iemand die je vertrouwt, zoals een leverancier, directeur, collega of advocaat, om je geld of gevoelige gegevens te laten sturen. De FBI beschrijft het als gericht op mensen en bedrijven die regelmatig overboekingen doen, met gehackte of nagemaakte e-mailaccounts en steeds vaker ook telefoonnummers en videovergaderapps. Het Ierse National Cyber Security Centre noemt vier veelvoorkomende vormen:

Leveranciers- of factuurfraude: het e-mailaccount van een echte leverancier wordt gehackt, of nagemaakt met een domein dat erop lijkt, om valse facturen of “nieuwe bankgegevens” te sturen.
CEO-fraude: een nepdirecteur vraagt om een dringende, geheime overboeking of om cadeaukaarten.
Salarisfraude: een nepcollega vraagt HR om zijn salaris naar een nieuwe rekening over te maken.
Advocaatfraude: een nepadvocaat of nep-notariskantoor stuurt betaalinstructies voor een deal of de overdracht van een huis.

In het VK registreerden banken in 2025 £41,3 miljoen aan verliezen door factuur- en machtigingsfraude, verdeeld over 2.305 zaken, en nog eens £5,6 miljoen door CEO-fraude.

Hoe ziet een e-mail van CEO-fraude of factuurfraude eruit?

Hij ziet er gewoon uit, en dat is precies de bedoeling. BEC-mails bevatten zelden malware of links. Ze draaien op een geloofwaardig verhaal, een deadline en één kleine wijziging. Dit zijn typische voorbeelden, vrij weergegeven:

Goedemiddag, graag wijzen wij u erop dat wij ons bankieren hebben ondergebracht bij een nieuwe bank. De gewijzigde gegevens vindt u in de bijlage. Wilt u deze gebruiken voor factuur #4471 en alle toekomstige betalingen? Onze oude rekening is opgeheven.

Zit je achter je bureau? Ik heb je nodig voor een vertrouwelijke betaling voor een overname, vandaag nog. Bespreek het nog met niemand. Ik zit in vergaderingen, dus alleen via mail.

Hoi HR, ik ben overgestapt naar een andere bank. Kunnen jullie mijn rekeningnummer aanpassen vóór de volgende salarisrun? De nieuwe gegevens staan hieronder.

De FBI merkt op dat AI deze mails nu gladder maakt: chattools kunnen de schrijfstijl van een directeur nadoen, en met stemklonen kan een verzoek telefonisch worden bevestigd. Bedrijven meldden in 2025 meer dan $30 miljoen aan BEC-verliezen waarbij AI een rol speelde.

Hoe controleer ik de afzender van een e-mail?

Controleer het echte adres, het domein en de authenticatieresultaten, en bevestig het daarna telefonisch op een nummer dat je al had. Werk ze in deze volgorde af.

Toon het volledige adres. De weergavenaam (“Sarah Lee, Administratie”) kan alles zeggen. Tik of beweeg erover om het echte adres te zien. Op telefoons sla je deze stap makkelijk over, en daarom raadt de FBI aan je e-mail zo in te stellen dat volledige adressen zichtbaar zijn.
Lees het domein letter voor letter. Let op verwisselde of toegevoegde tekens: “acme-corp.com” of “acmecorp.com”, “rn” voor “m”, “l” voor “i”, “.co” in plaats van “.com”, of een gratis adres zoals Gmail voor een bedrijf dat een eigen domein heeft.
Check het antwoordadres (Reply-To). Klik op beantwoorden en kijk naar de regel “Aan” voordat je typt. Verandert die in een ander adres, dan is de e-mail gemaakt om je antwoord ergens anders heen te sturen.
Check de authenticatieresultaten (SPF, DKIM, DMARC), hieronder uitgelegd.
Bekijk de eerdere correspondentie. Is dit een nieuwe thread die een oude zogenaamd “voortzet”? Zijn de handtekening, het telefoonnummer of de toon veranderd?
Bel om het te bevestigen op een nummer uit je eigen administratie, nooit op een nummer uit de e-mail. Dit is de stap die het verlies echt tegenhoudt.

Een echte e-mail vanaf een gehackt account doorstaat elke technische check. Daarom is stap 6 niet optioneel bij een betaling of een wijziging van bankgegevens.

Hoe controleer ik SPF, DKIM en DMARC in een e-mail?

Open de volledige details of headers van het bericht en zoek naar de woorden “pass” of “fail” naast SPF, DKIM en DMARC. Open in Gmail de e-mail, klik op het menu met de drie puntjes en kies “Origineel weergeven”. Open in Outlook de eigenschappen van het bericht of “Berichtbron weergeven” en zoek naar de regel “Authentication-Results”.

Check	Wat het in gewone taal betekent	Waar een “fail” op wijst
SPF	De server die de mail verstuurde, mag namens dat domein mailen	De server van iemand anders verstuurde mail uit naam van dat domein
DKIM	De e-mail heeft een geldige digitale handtekening van het domein en is onderweg niet veranderd	Het bericht is niet door dat domein ondertekend, of is aangepast
DMARC	Het domein dat je in de regel “Van” ziet, komt overeen met het domein dat voor SPF of DKIM slaagde	De zichtbare afzender is waarschijnlijk vervalst

Een “fail” bij een betaalmail is een stopteken. Een “pass” bewijst alleen dat de e-mail van dat domein kwam. Het bewijst niet dat het het juiste domein is (een nagemaakt domein kan voor alle drie slagen) of dat het account niet gehackt is. Zie deze checks als een filter, niet als een oordeel.

Hoe check ik van wie een domein of e-mailadres is?

Zoek op wanneer het domein is geregistreerd, en check daarna de persoon achter het adres. Gebruik de gratis registratie-opzoekfunctie van ICANN. Een domein van een leverancier dat tien jaar oud is, is normaal. Een nagemaakt domein dat vorige week is geregistreerd, is oplichting. Het Ierse NCSC raadt juist daarom aan mail van pas geregistreerde domeinen te blokkeren of te markeren.

Bij een nieuw contact, een nieuwe leverancier of een naam die je niet kent, helpt een zakelijke zoekopdracht bij Search A-Z. Vul de volledige naam en het land van de afzender in, kies “Zakelijk contact”, en voeg het e-mailadres en het bedrijf toe. Het rapport checkt of het e-mailadres echt is en hoe hoog het frauderisico is, en toont het zakelijke e-mailadres van de persoon, de huidige functie en het bedrijf, de werkervaring, openbare zakelijke profielen, de bedrijfsregistratie (functies bij Companies House in het VK en het wereldwijde LEI-register), nieuws en vermeldingen op het web, en eventuele openbare waarschuwingen voor oplichting of fraude. Is de “nieuwe accountmanager” nergens bij de leverancier terug te vinden, dan heb je je antwoord. De persoon hoort nooit dat je hebt gezocht.

Wat is een terugbelprocedure?

Een terugbelprocedure is een schriftelijke regel dat elke nieuwe betaling, wijziging van bankgegevens of dringende overboeking eerst wordt bevestigd met een telefoontje dat jij zelf pleegt, naar een nummer dat al in je administratie staat, voordat er geld wordt overgemaakt. Het is de meest effectieve maatregel tegen BEC, maar alleen als je het goed doet. De richtlijn van JPMorgan over wanneer terugbellen misgaat noemt de gebruikelijke fouten: vertrouwen op een binnenkomend telefoontje dat de e-mail “bevestigt”, het telefoonnummer uit de e-mail of factuur gebruiken, en spreken met iemand die niet de juiste persoon is.

Een eenvoudige procedure die je kunt overnemen:

Elke wijziging van de bankgegevens van een leverancier of medewerker wordt bevestigd met een uitgaand telefoontje naar een nummer uit je leveranciersbestand, het contract of de officiële website van de leverancier, nooit uit het verzoek zelf.
Het telefoontje gaat naar een vaste contactpersoon met wie je al eerder zaken deed.
Verzoeken die als dringend of vertrouwelijk zijn gemarkeerd, krijgen meer checks, niet minder.
Betalingen boven een vastgesteld bedrag moeten door twee mensen worden goedgekeurd.
Nieuwe bankgegevens krijgen een wachttijd (bijvoorbeeld 24 tot 48 uur) voor de eerste betaling.
Medewerkers krijgen zwart op wit dat niemand, ook de directeur niet, problemen krijgt omdat hij een betaling uitstelt om die te controleren.

Een script voor het telefoontje:

Hoi, met Alex van de crediteurenadministratie van Northfield. We kregen een e-mail over nieuwe bankgegevens voor jullie facturen. Voordat we iets wijzigen: kun je bevestigen dat jij die hebt gestuurd, en me de laatste vier cijfers van het nieuwe rekeningnummer voorlezen?

Hoe gaat een bedrijf om met een verzoek om betaalgegevens te wijzigen?

Behandel elke wijziging van betaalgegevens als verdacht tot die via een ander kanaal is gecontroleerd, en leg elke stap vast. Deze werkwijze past bij kleine en grote bedrijven:

Registreer het verzoek met de datum, het afzenderadres en de gevraagde wijziging. Beantwoord het nog niet.
Bel de leverancier op het nummer dat al in je systeem staat, en bevestig het met je vaste contactpersoon.
Check de naam bij de nieuwe rekening. In het VK laat Confirmation of Payee zien of de naam op de rekening klopt. In de eurozone doet Verification of Payee sinds 9 oktober 2025 hetzelfde voor overboekingen in euro's. Een melding “geen match” of “bijna een match” is een rode vlag.
Laat een tweede persoon de wijziging goedkeuren.
Doe een kleine testbetaling en bevestig telefonisch dat die is aangekomen, voordat je het volledige bedrag overmaakt.
Let op vervolgberichten. Druk om een van deze stappen over te slaan is op zich al een waarschuwingssignaal.

Dezelfde regels beschermen jou als leverancier: laat je klanten schriftelijk weten dat je bankgegevens nooit alleen per e-mail wijzigt. Voor nieuwe klanten behandelt onze gids over een nieuwe klant controleren voordat je begint de bredere checks.

Wat moet ik doen als ik een valse factuur heb betaald?

Bel direct je bank en vraag om de betaling terug te halen, en meld het dezelfde dag nog bij de FBI of je nationale politie. Snelheid is belangrijker dan wat dan ook. Het Ierse NCSC waarschuwt dat het meeste geld niet meer terug te halen is als het niet binnen de eerste uren wordt gemeld.

Bel nu het fraudeteam van je bank. Vraag om de overboeking terug te halen en de ontvangende bank het geld te laten bevriezen. Geef het bedrag, de datum, de ontvangende rekening en een eventueel kenmerk door.
VS: meld het op ic3.gov met alle transactiegegevens, hoe klein het bedrag ook is. Het Recovery Asset Team van de FBI gebruikt de Financial Fraud Kill Chain om samen met banken geld te bevriezen. In 2025 behandelde het 3.900 incidenten en bevroor het $679 miljoen, een slagingspercentage van 58%. Het kan ook doorgestuurde overboekingen (“second hop”) volgen als je die doorgeeft, en werkt met FinCEN samen bij internationale overboekingen.
VK: meld het bij Report Fraud, dat in december 2025 Action Fraud verving, op 0300 123 2040, of bij Police Scotland op 101. Je bank start daarnaast een eigen herstelprocedure.
EU: meld het bij je nationale politie en je bank. In Ierland wil ook het NCSC het weten. In Nederland doe je aangifte bij de politie en meld je het bij Fraudehelpdesk Zakelijk.
Beveilig het e-mailaccount. Wijzig wachtwoorden, zet meervoudige authenticatie aan, en controleer op doorstuurregels of inboxregels die antwoorden verbergen. Die wijzen vaak op een overgenomen account.
Bewaar bewijs. Sla de e-mails met volledige headers op, net als facturen, belgeschiedenis en transactiegegevens. Verwijder niets.
Waarschuw de echte leverancier of klant. Hun account, of het jouwe, kan nog steeds gehackt zijn.

Neemt een “herstelbureau” contact op met het aanbod om het geld tegen betaling terug te halen, dan is dat een nieuwe oplichting. Echt herstel loopt via je bank en de politie.

Hoe bescherm ik mijn bedrijf tegen e-mailfraude?

Combineer een streng betaalproces met een paar technische basismaatregelen. De FBI en het Ierse NCSC raden allebei aan:

Meervoudige authenticatie op elk e-mailaccount.
SPF, DKIM en DMARC ingesteld op je eigen domeinen, zodat criminelen jou niet makkelijk kunnen nadoen tegenover je klanten.
E-mail die volledige afzenderadressen toont en externe afzenders markeert.
Voor de hand liggende varianten van je eigen domein zelf registreren, of erop letten.
Een gecontroleerde leverancierslijst met bekende telefonische contactpersonen.
Regelmatige training voor medewerkers met echte voorbeelden zoals hierboven.

BEC begint vaak met onderzoek naar je team: wie betalingen goedkeurt, wie de leveranciers zijn, wie op reis is. Onze gids over nep LinkedIn-profielen herkennen legt uit hoe nepaccounts die informatie verzamelen.

Kort samengevat

Je kunt een gehackte e-mail niet van een echte onderscheiden door ernaar te kijken, dus probeer het niet. Check het adres en het domein, zie SPF en DKIM als een eerste filter, en bevestig elke wijziging van betaalgegevens door een nummer te bellen dat je al had. Is het geld weg, bel dan je bank en meld het binnen uren, niet dagen.

Veelgestelde vragen

Wat is business email compromise?

Business email compromise (BEC), ook bekend als CEO-fraude of factuurfraude, is oplichting waarbij criminelen zich per e-mail voordoen als een vertrouwd contact, zoals een leverancier, directeur of advocaat, om je geld te laten overmaken of bankgegevens te laten wijzigen. De FBI ontving in 2025 24.768 klachten over BEC, met $3,05 miljard aan verliezen.

Hoe zie ik of een e-mail echt komt van wie hij zegt?

Toon het volledige afzenderadres, check het domein letter voor letter, kijk waar antwoorden naartoe gaan, en zoek naar “pass” bij SPF, DKIM en DMARC in de berichtdetails. Gaat het om geld, bevestig het dan door de persoon te bellen op een nummer dat je al had.

Kan een echt e-mailadres voor oplichting worden gebruikt?

Ja. Is het account van een leverancier of collega gehackt, dan komen de nepmails van hun echte adres en doorstaan ze elke technische check. Daarom moet je wijzigingen van betaalgegevens altijd telefonisch bevestigen, met een nummer uit je eigen administratie.

Wat betekent een DMARC-fail?

Dat het domein in de regel “Van” niet overeenkomt met een domein dat voor de SPF- of DKIM-check slaagde. Bij een e-mail over een betaling of nieuwe bankgegevens is een DMARC-fail een sterk teken dat de afzender vervalst is.

Krijg ik mijn geld terug na het betalen van een valse factuur?

Soms, als je snel bent. Bel meteen je bank om de betaling terug te laten halen, en meld het op ic3.gov in de VS, bij Report Fraud in het VK of bij de politie in Nederland. Het Recovery Asset Team van de FBI bevroor in 2025 $679 miljoen voor slachtoffers, maar de kans neemt na de eerste uren snel af.

Wat is de Financial Fraud Kill Chain van de FBI?

Het proces waarmee het Recovery Asset Team van de FBI samen met banken frauduleuze overboekingen bevriest, ook internationale overboekingen via FinCEN. Je zet het in gang door snel te melden op ic3.gov met alle transactiegegevens en je bank te vragen de betaling terug te halen.

Wat is een nagemaakt domein?

Een web- of e-maildomein dat gemaakt is om op een echt domein te lijken, zoals acme-corp.com in plaats van acmecorp.com, of met een letter vervangen door een letter die erop lijkt. Check de registratiedatum met de opzoekfunctie van ICANN: een nagemaakt domein is meestal pas dagen of weken oud.

Bronnen

De cijfers zijn de meest recente die elke bron had gepubliceerd toen deze gids werd bijgewerkt. Gemelde fraudeschade is een ondergrens: de meeste fraude wordt nooit gemeld.

CEO-fraude en factuurfraude (business email compromise): zo controleer je een e-mailafzender voordat je betaalt