Factuurfraude voorkomen: zo maak je je betaalproces bestand tegen AI-fraude

Er komt een mail binnen van een leverancier waar je al jaren mee werkt. Dezelfde ondertekening, dezelfde opmaak, een verwijzing naar het project dat inderdaad loopt. Onderaan staat een zinnetje: let op, wij hebben een nieuw rekeningnummer. De factuur klopt. Het bedrag klopt. Het rekeningnummer niet.

Dit is de meest voorkomende vorm van factuurfraude, en er wordt op dat moment niets gehackt. Iemand doet zich voor als een partij die je vertrouwt, precies op het moment dat je een betaling verwacht. Dat is geen technisch probleem, het is een procesprobleem. Factuurfraude voorkomen begint dus in je betaalproces, niet bij oplettender personeel.

Wat de laatste jaren wél is veranderd, is hoe overtuigend het gebeurt. De kromme vertaalfouten waar iedereen op leerde letten zijn verdwenen. Een bericht kan tegenwoordig in de schrijfstijl van je vaste contactpersoon staan, het juiste ordernummer noemen, en gevolgd worden door een telefoontje met een stem die je herkent. Daarmee is de vraag “ziet dit er verdacht uit?” geen betrouwbaar controlemiddel meer. De vraag die wél werkt is een andere: kán een verkeerde betaling bij ons überhaupt de deur uit?

Waarom juist de crediteurenadministratie

Wie facturen verwerkt, doet twee dingen die voor een fraudeur interessant zijn: bedragen betalen en leveranciersgegevens bijwerken. Vaak onder tijdsdruk, vaak in bulk, en vaak met een vanzelfsprekend vertrouwen in de partijen waar het bedrijf al jaren zaken mee doet.

Een aanvaller hoeft dus niet in te breken in je boekhoudpakket. Het is genoeg om ervoor te zorgen dat jij zelf, vrijwillig en volgens de normale procedure, geld naar de verkeerde rekening overmaakt. Dat is precies wat deze fraudevorm zo lastig maakt: technisch gezien gaat er niets kapot. In de administratie ziet de betaling er tot het moment van de aanmaning volkomen normaal uit.

Dat verklaart ook waarom het vaak weken duurt voordat het opvalt. Niet omdat er slecht wordt opgelet, maar omdat er geen alarm is dat afgaat.

Hoe het er in 2026 uitziet

De mail die in een bestaand gesprek past

De meest effectieve variant komt niet uit het niets. Er is eerst toegang tot een mailbox — die van jou, of die van je leverancier. Daar leest iemand mee: welke facturen lopen, hoe jullie elkaar aanspreken, wanneer er betaald wordt. Vervolgens wordt er op het juiste moment een bericht in die lopende conversatie geplaatst.

Meelezen kan tegenwoordig ook zonder dat een wachtwoord bekend is, bijvoorbeeld doordat een actieve sessie is overgenomen. We schreven daarover in sessiekaping: waarom MFA niet altijd genoeg is. Voor de crediteurenadministratie is de belangrijkste consequentie: een mail die uit de juiste mailbox komt, is niet automatisch van de juiste persoon.

Het gewijzigde rekeningnummer

De kern van vrijwel elke zaak is hetzelfde: er wordt een betaalbestemming veranderd. Soms met een korte mededeling, soms met een keurige briefpapier-pdf met een “wijziging bankgegevens”-formulier erbij, soms door een echte factuur te onderscheppen en er één cijferreeks in aan te passen.

Het bedrag is vaak bewust normaal. Niemand kijkt op van een factuur van 4.800 euro als dat past bij wat die leverancier normaal stuurt.

De stem aan de telefoon

Wat er de afgelopen jaren bij is gekomen, is audio. Uit een paar seconden opgenomen spraak — een voicemailbegroeting, een webinar, een bedrijfsvideo — valt een herkenbare stem na te maken. Dat raakt precies de controle die veel bedrijven als achtervang gebruiken: “bij twijfel bel ik even.”

Die controle werkt nog steeds, maar alleen in één richting: als jíj belt, naar een nummer dat je zelf al had. Een inkomend telefoontje bewijst niets meer. Meer over hoe je nagemaakt beeld en geluid herkent staat in deepfakes: welke soorten er zijn en hoe je ze herkent en in CEO-fraude: het appje van de directeur.

Waarom “beter opletten” geen oplossing is

Bewustwording blijft nuttig, en we raden een vaste ronde security-awareness ook echt aan (zie hoe vaak je security-training moet geven). Maar er zit een grens aan.

Zolang een medewerker aan de tekst moet zien of iets echt is, leg je de verantwoordelijkheid op de verkeerde plek. Een goed nagemaakt bericht is nu eenmaal niet van een echt bericht te onderscheiden, hoe scherp iemand ook is. En de dag dat het misgaat, is meestal de dag dat het druk was.

Bedrijven die dit onder controle krijgen, vragen hun mensen niet om wantrouwiger te worden. Ze zorgen dat een betaling naar een gewijzigd rekeningnummer simpelweg niet kan plaatsvinden zonder een tweede, onafhankelijke bevestiging. Of het bericht er echt uitzag, doet er dan niet meer toe.

Drie controles die het verschil maken

1. Verificatie via een tweede kanaal

Elk verzoek om bankgegevens te wijzigen, en elke spoedbetaling buiten de normale cyclus, wordt bevestigd via een kanaal dat je zelf kiest. Dus: bellen naar het telefoonnummer dat al in je administratie staat — niet het nummer uit de mail, niet de “reply” op dezelfde thread.

Dit kost een paar minuten en het is de enige maatregel die werkt ongeacht hoe goed de vervalsing is. Leg vast wie belt, wat er gevraagd wordt en waar het antwoord wordt genoteerd, zodat het niet afhangt van wie er die dag zit.

2. Vier ogen bij wijzigingen en bij bedragen

Het wijzigen van een rekeningnummer in het boekhoudpakket zou een handeling moeten zijn die iemand anders bevestigt dan degene die de betaling klaarzet. Datzelfde geldt boven een afgesproken bedrag — bepaal zelf waar die grens ligt, maar bepaal hem wél.

Kleine teams zeggen hier vaak: dat kan bij ons niet, we zijn met te weinig mensen. In de praktijk kan het bijna altijd wél, zolang je het beperkt tot de twee acties die er echt toe doen. Het hoeft geen goedkeuringsstraat te worden.

3. Toegang tot mailbox en boekhoudpakket

Omdat veel fraude begint met meelezen, hoort de beveiliging van de mailbox erbij. Phishing-bestendige authenticatie voor iedereen die facturen ziet, een controle op doorstuurregels die niemand bewust heeft aangezet, en het intrekken van sessies bij verdenking. De stappen daarvoor staan in zakelijke e-mail beveiligen in 6 stappen.

Aan de uitgaande kant helpt het als jouw domein niet eenvoudig te vervalsen is, zodat een leverancier geen nepmail «van jou» krijgt. Dat is het onderwerp van e-mailauthenticatie met SPF, DKIM en DMARC.

Een voorbeeld uit de praktijk

Een technisch installatiebedrijf met 26 medewerkers werkt al zes jaar met dezelfde staalleverancier. In maart komt er een mail in een lopende conversatie: de factuur van vorige week mag opnieuw worden ingeboekt, want er is een fout in de bankgegevens geslopen. Nette toon, juiste projectnaam, correcte bedragen.

De administratief medewerker past het rekeningnummer aan en zet de betaling van ruim 11.000 euro klaar. Er is geen tweede paar ogen op de wijziging, want dat was nooit afgesproken. De betaling gaat eruit.

Vijf weken later komt de aanmaning van de echte leverancier. Dan blijkt dat het mailaccount van een medewerker bij die leverancier al een maand werd meegelezen. Het bedrag is voor een deel teruggehaald via de bank, maar niet volledig. De aanpassing achteraf was klein: wijzigingen van bankgegevens worden nu altijd telefonisch bevestigd op het nummer uit de eigen administratie, en het aanpassen van een rekeningnummer is losgekoppeld van het klaarzetten van betalingen. Sindsdien zijn er twee vergelijkbare verzoeken binnengekomen. Beide strandden bij dat telefoontje.

Zo pak je het aan

1. Schrijf op wie wat mag. Wie mag leveranciersgegevens wijzigen, wie mag betalingen klaarzetten, wie mag ze goedkeuren. Bij voorkeur niet dezelfde persoon voor alle drie.
2. Leg de belregel vast. Wijziging bankgegevens of spoedbetaling betekent: bellen op het nummer uit de eigen administratie. Eén zin in het handboek is genoeg, zolang iedereen hem kent.
3. Zet een bedragsgrens. Boven dat bedrag altijd een tweede goedkeuring, ook als het van de directie lijkt te komen.
4. Controleer de mailboxen van finance. Phishing-bestendige MFA, geen onbekende doorstuur- of verwijderregels, en een periodieke blik op actieve sessies.
5. Spreek het af met je vaste leveranciers. Laat weten dat jullie bankwijzigingen altijd telefonisch verifiëren en vraag hetzelfde andersom. Dat past in het bredere beheer van leveranciersrisico.
6. Maak vertragen veilig. Wie een betaling tegenhoudt om te controleren, doet zijn werk goed. Dat moet ook zo klinken vanuit de directie, anders belt niemand.

Veelgestelde vragen

Krijg ik het geld terug als we toch betaald hebben?

Soms gedeeltelijk. Neem direct contact op met je bank — hoe sneller je meldt, hoe groter de kans dat een bedrag nog te blokkeren is. Doe daarnaast aangifte bij de politie en meld het bij de Fraudehelpdesk. Is er ook toegang geweest tot persoonsgegevens, dan speelt de meldplicht uit de AVG (72 uur bij de Autoriteit Persoonsgegevens). We zijn geen juristen, dus bij twijfel over de meldplicht is het verstandig dat kort te laten toetsen.

Helpt het als we facturen alleen nog via een portaal accepteren?

Het helpt, omdat de betaalgegevens dan niet meer per mail rondgaan. Maar het lost het niet volledig op: ook een portaalaccount kan overgenomen worden. De verificatie bij een wijziging van bankgegevens blijft dus staan, ongeacht via welk kanaal het verzoek binnenkomt.

Is dit ook een risico voor kleine bedrijven?

Ja, en juist daar zijn de gevolgen groter. Bij een klein team zijn taken vaker gecombineerd en is er zelden een vaste tweede controle. Bovendien is de schade van één foute betaling relatief zwaarder. Zie ook hoe AI phishing overtuigender maakt.

Wat doen we als eerste, als we morgen willen beginnen?

Zet de belregel voor wijzigingen van bankgegevens op papier en mail hem rond. Dat kost een halfuur en dekt de meest voorkomende variant af. De rest — bevoegdheden, bedragsgrenzen, mailboxbeveiliging — kun je daarna rustig inregelen.

Hoe herken je een spookfactuur of valse factuur?

Spookfacturen zijn rekeningen voor goederen of diensten die je nooit hebt afgenomen: een advertentie in een gids, de verlenging van een domeinnaam, een vermelding in een register. Oplichters sturen ze massaal en gebruiken daarbij vaak een bekende naam. Om ze te herkennen check je inkomende facturen op drie punten: herkent een collega de opdracht, klopt de afzender met eerdere mail van die leverancier, en wijkt het rekeningnummer af van wat in je administratie staat – bijvoorbeeld een buitenlandse rekening? Controleer het rekeningnummer sowieso bij elke wijziging. Een oplichter rekent erop dat een kleine factuur zonder vragen wordt doorgezet naar de betaling.

Wil je weten of jullie betaalproces een verkeerde betaling tegenhoudt? We lopen het graag met je door: van de mailboxbeveiliging tot de controles rond leveranciersgegevens. Bel 030-7115791 of mail naar info@okayict.nl.