Business email compromise neemt toe: zo bestrijd je het

E-mail is niet meer weg te denken uit ons dagelijks werk, inclusief zakelijke transacties. En met die afhankelijkheid groeit ook de cybercriminaliteit. Een van de grootste dreigingen voor bedrijven is business email compromise (BEC) — het kapen of nabootsen van zakelijke e-mail om geld te ontfutselen.

Waarom verdient BEC extra aandacht? Omdat het hard toeneemt: de aanvallen stegen fors, en veruit de meeste medewerkers melden zo’n poging niet. En de bedragen zijn enorm; wereldwijd gaat het jaarlijks om miljarden aan schade.

Wat is business email compromise?

Bij BEC gebruiken criminelen e-mailfraude om slachtoffers — bedrijven én personen — op te lichten, vooral wie betalingen of overboekingen doet. De oplichter doet zich voor als een directeur of zakenpartner en stuurt medewerkers, klanten of leveranciers een verzoek om te betalen of geld over te maken.

Hoe werkt BEC?

BEC-aanvallen zijn vaak goed voorbereid en daardoor lastig te herkennen. De aanvaller onderzoekt eerst je organisatie en medewerkers — wie doet wat, wie zijn de leveranciers en partners. Veel van die informatie staat gewoon online, op LinkedIn, social media en je eigen website.

Met die kennis stelt hij een overtuigende mail op die lijkt te komen van een directeur of partner. Het verzoek gaat over een betaling of overboeking, meestal met een gevoel van urgentie en vertrouwelijkheid (“dit moet snel en tussen ons blijven”). Soms bootst hij ook een website na om echter te lijken. Trapt de ontvanger erin en betaalt hij, dan is het geld weg — en vaak niet terug te halen. Dit sluit aan bij CEO-fraude en reply-chain phishing.

Zo bestrijd je BEC

Train je medewerkers

Leer je team de risico’s van BEC herkennen: urgente verzoeken, psychologische trucs en nepwebsites. Neem ook e-mailbeveiliging mee in de training, zoals: het regelmatig checken van de map “verzonden” op vreemde berichten, sterke e-mailwachtwoorden van minstens 12 tekens, en het melden bij IT zodra iemand een verdachte mail vermoedt.

Zet e-mailauthenticatie aan

Stel de e-mailauthenticatie-protocollen in: SPF, DKIM en DMARC. Die verifiëren of een mail echt van het opgegeven domein komt en verkleinen de kans op e-mailspoofing (het vervalsen van de afzender). Een mooie bijvangst: je legitieme mails belanden minder snel in de spam. Zie e-mailspoofing voorkomen.

Voer een betaalverificatie in

Spreek af dat betaal- en overboekingsverzoeken altijd door een tweede persoon of via een tweede kanaal worden bevestigd. Het is altijd beter als meer dan één iemand een financieel verzoek controleert — zeker bij gewijzigde bankgegevens.

Controleer je transacties

Loop je financiële transacties periodiek na op onregelmatigheden, zoals onverwachte overboekingen of gewijzigde betaalinstructies. Zet er een vast moment voor in je agenda, anders schiet het er zomaar bij in.

Maak een responsplan

Zorg voor een plan voor als het misgaat: hoe meld je het intern, hoe probeer je een overboeking te (laten) blokkeren, en wanneer schakel je de bank en politie in. Snelheid is cruciaal — geld dat weg is, is vaak weg. Zie ons cyberaanval-stappenplan.

Gebruik anti-phishingsoftware

Anti-phishingsoftware helpt frauduleuze mails te detecteren en te blokkeren. Met de opmars van AI worden zowel de aanvallen als de verdedigingstools slimmer. Blijf dus alert en combineer techniek met bewustzijn.

Zo pak je het aan

• Zet SPF, DKIM en DMARC aan op je e-maildomein.
• Maak betaalverificatie via een tweede kanaal de norm.
• Train je team op de trucs en het melden ervan.
• Leg een responsplan klaar voor als het toch misgaat.

Veelgestelde vragen

Wat is het verschil tussen BEC en gewone phishing?

Gewone phishing is vaak massaal en generiek. BEC is gericht: de aanvaller doet zich voor als een specifieke directeur of partner en mikt op een betaling of overboeking, met veel voorbereiding. Dat maakt het lastiger te herkennen.

Wat zijn SPF, DKIM en DMARC?

Dit zijn e-mailbeveiligingsprotocollen die verifiëren of een mail echt van jouw domein komt. Samen verkleinen ze de kans dat iemand jouw e-mailadres vervalst, en helpen ze je mails uit de spam te houden.

Wat is de belangrijkste maatregel tegen BEC?

Betaalverificatie via een tweede kanaal. Laat geld- en overboekingsverzoeken altijd door een tweede persoon bevestigen, zeker bij gewijzigde bankgegevens. Dat vangt de meeste fraude af.

Wat doe ik als er al betaald is?

Neem direct contact op met je bank om de overboeking zo mogelijk te blokkeren, meld het intern en doe aangifte. Hoe sneller je handelt, hoe groter de kans op beperken van de schade.

Het kost maar een moment voor geld je rekening verlaat en onherstelbaar weg is. Laat je zakelijke e-mail niet onbeschermd. Neem contact op voor onze e-mailbeveiliging.