Wat is factuurfraude?

Factuurfraude is een vorm van oplichting waarbij je een factuur betaalt die niet klopt. Soms is de factuur volledig verzonnen, bijvoorbeeld voor een advertentie of domeinnaam die je nooit hebt besteld. Vaker is het een echte factuur van een echte leverancier, waarop alleen het rekeningnummer is veranderd. Het bedrag, het logo en de omschrijving kloppen allemaal, dus er valt niets op.

Dit raakt juist het MKB hard, omdat het bedrag meestal net geloofwaardig is en het geld na overboeking vrijwel nooit terugkomt. Criminelen lezen eerst een tijdje mee in een gehackte mailbox, wachten tot er echt een factuur aankomt en sturen dan hun eigen versie na, met een nette mail erbij over een gewijzigd bankrekeningnummer. Omdat de correspondentie klopt, twijfelt niemand.

De beste verdediging is een afspraak, geen techniek alleen. Controleer elke wijziging van een rekeningnummer telefonisch, via een nummer dat je zelf opzoekt en niet uit de mail haalt. Laat betalingen boven een bepaald bedrag altijd door twee mensen aftekenen en vergelijk factuur, bestelling en levering met elkaar. Zet daarnaast meervoudige verificatie op je mailboxen, want de meeste gevallen beginnen met een account dat is overgenomen. Ben je toch overgemaakt: bel direct je bank en doe aangifte.

De vormen van factuurfraude die je in het MKB tegenkomt

Oplichters werken grofweg langs drie lijnen. De eerste is de nagemaakte factuur. Criminelen onderscheppen een echte factuur van een leverancier, fysiek of digitaal, en wijzigen alleen het rekeningnummer. Bedrag, logo, factuurnummer en omschrijving kloppen. Je verwachtte die rekening ook, dus je betaalt hem. Het geld gaat alleen naar de oplichter.

De tweede is de spookfactuur: een rekening voor iets dat je nooit hebt besteld. Vaak namens een bekende partij, en meestal voor een klein bedrag dat in de drukte van de administratie niet opvalt. Denk aan een vermelding in een bedrijvengids of een advertentie in een blad dat nauwelijks verschijnt. Partijen die dit doen mikken op bedrijven waar niemand de factuur naast een bestelling legt. Deze nepfacturen worden vaker betaald dan je zou denken, juist omdat de naam op de factuur vertrouwd aanvoelt.

De derde is de stiekeme offerte, ook wel acquisitiefraude genoemd. Wat eruitziet als een factuur, is in de kleine lettertjes een aanbod. Betaal je hem of zet je een handtekening, dan zit je aan een contract vast. Daar kom je slecht vanaf. Dicht hiertegenaan ligt CEO-fraude, waarbij iemand zich voordoet als directeur en een medewerker onder druk een betaling laat doen buiten de normale procedure om.

Zo herken je een nepfactuur

Bijna elke nepfactuur valt op als je hem naast je eigen administratie legt. Controleer het rekeningnummer altijd voordat je een factuur betaalt, en loop daarna deze punten langs:

• Klopt de bestelling? Check welk product of welke dienst op de factuur staat en of je dat echt bij deze leverancier hebt besteld. Vergelijk het factuur- of ordernummer met je eigen boekhouding.
• Klopt het rekeningnummer? Vergelijk het IBAN met wat je van deze leverancier in je administratie hebt staan. Een gewijzigd rekeningnummer is het belangrijkste alarmsignaal dat er is.
• Klopt de afzender? De naam kan kloppen terwijl het e-mailadres net iets afwijkt. Kijk naar het domein achter het apenstaartje, niet naar de weergegeven naam. Zie ook typosquatting.
• Is er haast bij? Een dringende of dreigende toon is een truc om je snel te laten betalen zonder te controleren. Hetzelfde geldt voor telefoontjes met een dwingend karakter en smoesjes waarom deze betaling van de normale procedure mag afwijken.
• Staat er iets in de kleine lettertjes? Lees ze. Soms staat er letterlijk dat het geen factuur maar een offerte is.

Vertrouw je het niet, neem dan contact op met de leverancier. Gebruik daarvoor de contactgegevens uit je eigen administratie, niet die op de factuur. Die kunnen van de oplichter zijn.

Factuurfraude voorkomen begint bij afspraken, niet bij software

Techniek helpt, maar de meeste gevallen worden tegengehouden door een simpele procedure in je bedrijf. Leg vast wie een betaalopdracht mag uitvoeren en wat er gebeurt als er geen goedgekeurde factuur ligt. Laat betalingen boven een afgesproken bedrag door twee mensen aftekenen: functiescheiding of dubbele autorisatie. Twee mensen zien meer dan een. Probeer uitzonderingen te vermijden, want juist daar gaat het mis.

Spreek af dat elke wijziging van een rekeningnummer telefonisch wordt geverifieerd, via een nummer dat je zelf opzoekt. Maak het onderwerp ook bespreekbaar. Medewerkers die durven te zeggen dat ze twijfelen over een betaling, houden meer tegen dan welk filter dan ook. Wees alert op alles wat afwijkt van hoe het normaal gaat. Dat geldt extra bij thuiswerken, waar even binnenlopen bij een collega niet vanzelf gaat.

Aan de technische kant: de gerichte variant begint bijna altijd bij een overgenomen mailbox, van jou of van je leverancier. Zet daarom multifactor-authenticatie aan op alle accounts en richt je e-mailbeveiliging goed in. Zie je een poging, laat het valse domein dan blokkeren op je mailserver en houd je mailverkeer in de gaten op lijkende domeinen.

Toch een nepfactuur betaald? Dit doe je direct

Snelheid bepaalt hier vrijwel alles. Bel meteen je bank. De kans is klein, maar soms is een deel van het bedrag nog tegen te houden voordat het wordt doorgesluisd of contant opgenomen. Een eenmalige overboeking die je zelf hebt ondertekend kan de bank niet zomaar terugdraaien, anders dan een incasso.

Doe daarna aangifte bij de politie. Factuurfraude is strafbaar, en aangiftes zijn de belangrijkste bron van informatie voor onderzoek naar de daders. Voeg de valse factuur ongewijzigd toe. Meld de fraude ook bij je bank en bij de Fraudehelpdesk, zodat de melding meetelt in de detectie van volgende pogingen. Houd er rekening mee dat je bank de schade doorgaans niet vergoedt en dat ook een verzekeraar vaak niet uitkeert: je hebt de betaling zelf geautoriseerd. Preventie is dus goedkoper dan herstel.

Veelgestelde vragen

Wat is het verschil tussen factuurfraude en CEO-fraude?

Bij factuurfraude draait het om een document: een valse of aangepaste factuur die je administratie binnenkomt. Bij CEO-fraude draait het om een persoon. Een oplichter doet zich voor als directeur of manager en zet een medewerker onder druk om een betaling te doen die afwijkt van de normale procedure. In de praktijk lopen ze in elkaar over, en dezelfde maatregelen helpen tegen allebei.

Vergoedt mijn bank een betaalde nepfactuur?

Meestal niet. Je hebt de betaling zelf uitgevoerd en geautoriseerd, dus de bank ziet geen onrechtmatige transactie. Een verzekeraar vergoedt de schade doorgaans evenmin. Bellen blijft wel zinvol: als het geld nog niet is doorgeboekt, kan je bank soms nog iets tegenhouden.

Wat is een spookfactuur precies?

Een spookfactuur is een rekening voor een product of dienst die nooit is geleverd en die je ook nooit hebt besteld. Vaak voor een laag bedrag en op naam van een bekend klinkende organisatie, zodat hij ongemerkt door de administratie glipt. Het is een vorm van acquisitiefraude.

Waar meld ik factuurfraude?

Op drie plekken: bij je bank, bij de politie via een aangifte, en bij de Fraudehelpdesk. Valse e-mail kun je daarnaast doorsturen naar de fraudeafdeling van de organisatie waarvan de naam is misbruikt. Elke melding helpt bij het herkennen van nieuwe varianten.

Meer lezen: Wat is CEO-fraude? · Wat is phishing? · Wat is typosquatting?