Nep-recruiters op LinkedIn: zo bescherm je je team

Van alle manieren waarop iemand je bedrijf binnenkomt via een medewerker, is deze misschien wel de meest ongemakkelijke: een recruiter die contact opneemt over een baan. Nep-recruiters op LinkedIn zijn inmiddels een vaste route om een bedrijf binnen te komen.

Ongemakkelijk, omdat het geen aanval lijkt. Er zit geen bijlage bij, er wordt niet gedreigd, en er staat geen rare afzender boven. Er staat een vriendelijk bericht van iemand die denkt dat jouw collega interessant is. Dat is precies waarom het werkt.

We schreven eerder over het herkennen van nep-LinkedIn-accounts. Dat gaat over het profiel: de foto, de connecties, de gaten in het cv. Dit artikel gaat over iets anders — het gesprek dat daarna komt, en wat dat voor jou als werkgever betekent.

Waarom uitgerekend werving zo goed werkt

Een phishingmail die zegt dat je pakket klaarstaat, moet het hebben van een reflex. Een wervingsbericht hoeft dat niet. Het krijgt vanzelf aandacht, want het gaat over de ontvanger zelf: zijn werk, zijn waarde, zijn toekomst.

Daar komt bij dat het gesprek een natuurlijke reden geeft om dingen te doen die je normaal niet zou doen. Je cv opsturen. Je telefoonnummer geven. Een document openen. Overstappen naar WhatsApp, want dat is makkelijker. Stuk voor stuk normaal in een sollicitatie, en stuk voor stuk bruikbaar voor een aanvaller.

En er is een derde factor: dit is een gesprek dat mensen niet met hun werkgever delen. Iemand die met een recruiter praat, gaat dat niet even melden bij de IT-contactpersoon. Daarmee valt de belangrijkste vroege waarschuwing weg — die van een collega die zegt: dit vertrouw ik niet.

Het patroon in vijf stappen

1. Een verzorgde benadering

Het bericht is goed geschreven, gebruikt de juiste vaktermen en noemt een bedrijf dat bestaat. Wat vaak wél afwijkt, is de vacature zelf: opvallend algemeen, met verantwoordelijkheden die op iedereen slaan en zonder duidelijk antwoord op de vraag aan wie je zou rapporteren.

2. Snel weg van het platform

Binnen een paar berichten verhuist het gesprek. Naar WhatsApp, Telegram, een privé-mailadres of een eigen wervingsportaal. Dit is de belangrijkste stap in het hele patroon, want daar vervalt alles wat het platform aan wrijving oplevert — en pas daar kunnen er links, bestanden en instructies komen.

3. Een geloofwaardig omhulsel

Er volgt iets dat op een proces lijkt: een online assessment, een onboardingpakket, een portaal waar je moet inloggen om een gesprek in te plannen. Dat inloggen is vaak het echte doel. Wie daar het wachtwoord van zijn werkaccount invult — en veel mensen hergebruiken — geeft precies weg waar het om begonnen was. Zie ook hoe zo’n nagemaakte inlogpagina een sessie kan overnemen.

4. De kanteling

Dan komt de vraag waar het om draait. Meestal een van vier: geld (een aanbetaling voor apparatuur, een cursus, een screening), identiteitsgegevens (paspoort, bankrekening, BSN), een eenmalige code die je moet voorlezen, of — en dit is de variant die het meest over jouw bedrijf gaat — informatie over je huidige werkgever.

5. Druk om door te gaan

Als iemand aarzelt, komt de tijdsdruk: er zijn nog twee plekken, de selectie sluit vrijdag, laat het even vandaag weten. Alles in het gesprek is erop gericht dat de kandidaat blijft bewegen en niet gaat nadenken.

De vraag die over jouw bedrijf gaat

Dit onderdeel wordt in de meeste artikelen over baanoplichting overgeslagen, omdat die zich richten op de persoon die opgelicht wordt. Voor een werkgever is het juist het interessantste stuk.

In een deel van deze gesprekken is de kandidaat niet het doelwit maar de bron. De vragen komen verpakt als normale sollicitatievragen: hoe is jullie team georganiseerd, met welke systemen werken jullie, wie tekent bij jullie de facturen, hoe verloopt het goedkeuringsproces, welke beveiligingssoftware gebruiken jullie eigenlijk?

Dat zijn geen recruitervragen. Een echte recruiter wil weten wat jij doet en kunt, niet hoe de betaalstroom bij je werkgever loopt. Wie die antwoorden verzamelt, bouwt aan een factuur- of directiefraude die een paar weken later overtuigend genoeg is om te lukken.

Zo ziet het eruit

Een technisch handelsbedrijf met 28 medewerkers. Een medewerker van de binnendienst wordt benaderd voor een functie bij een bekende partij in de branche. Het gesprek verloopt vlot en gaat na twee dagen verder via WhatsApp.

Er komt een vragenlijst "om de rolzwaarte te bepalen". Daarin staan vragen over het aantal orders per week, welk pakket ze gebruiken, en wie de bevoegdheid heeft om leveranciersgegevens te wijzigen. Hij vult het in, want het lijkt te gaan over de omvang van zijn eigen werk.

Zes weken later komt er een mail bij de administratie, met een gewijzigd rekeningnummer voor een leverancier waar ze inderdaad mee werken, in het juiste format, met verwijzing naar het juiste ordernummer. Er wordt bijna betaald. Wat het tegenhield was geen techniek, maar een collega die de leverancier belde op het nummer dat ze zelf al hadden.

Wat je als werkgever kunt doen

Het antwoord is niet dat je je team moet verbieden om met recruiters te praten. Dat is niet realistisch, niet je zaak, en het maakt het probleem erger — want dan wordt het helemaal stiekem.

Maak melden veilig en oordeelvrij. Dit is het belangrijkste punt van dit hele artikel. Zeg hardop dat het normaal is dat mensen benaderd worden, dat je daar niets van vindt, en dat je alleen wilt horen wanneer zo’n gesprek raar wordt. Zolang iemand bang is dat een melding wordt gelezen als "hij wil weg", meldt niemand iets.

Benoem de harde stops, één keer, concreet. Geen geld overmaken, wat de reden ook is. Geen identiteitsdocumenten of bankgegevens voordat er een echt proces met een echt contract loopt. Nooit een ontvangen code voorlezen of doorsturen — aan niemand. En geen bedrijfsinformatie die verder gaat dan wat jij zelf doet.

Leer één verificatiegewoonte aan. Zoek het bedrijf zelf op, bel het nummer van de eigen website, en vraag of de vacature en de recruiter kloppen. Niet de contactgegevens gebruiken die je zijn toegestuurd. Dezelfde gewoonte die werkt bij nepberichten via sms en bij verdachte e-mail.

Maak van "terug naar het platform" een vuistregel. Een serieuze werkgever heeft er geen enkel bezwaar tegen om via het officiële kanaal of een zakelijk mailadres te communiceren. Wie daar moeilijk over doet, geeft je meteen je antwoord.

Neem het mee in je gewone bewustwordingsronde. Niet als apart project. Dit hoort thuis naast phishing en factuurfraude; zie hoe vaak je zulke training moet herhalen en waarom de mens het startpunt blijft.

Als er al iets gedeeld is

Blijf rustig en werk in deze volgorde. Is er een wachtwoord ingevuld op een portaal: dat wachtwoord wijzigen, overal waar het hergebruikt is, en de actieve sessies intrekken. Is er een code voorgelezen: het account controleren op onbekende MFA-methodes en doorstuurregels; zie de stappen bij een gehackt account.

Is er bedrijfsinformatie gedeeld: waarschuw de administratie en spreek af dat wijzigingen in rekeningnummers de komende maanden altijd telefonisch worden geverifieerd. En zijn er persoonsgegevens van anderen bij betrokken, dan kan er een meldplicht spelen — zie het afhandelen van een datalek. Wij zijn geen juristen; bij twijfel laat je dat toetsen.

Aangifte doen kan bij de politie, en melden kan bij de Fraudehelpdesk. Meld het nepprofiel ook op LinkedIn zelf — dat kost twee minuten en scheelt een volgende collega hetzelfde gesprek.

Veelgestelde vragen

Kunnen we niet gewoon verbieden dat medewerkers op LinkedIn zitten?

Dat kun je niet afdwingen op een privéaccount, en het zou je ook geen goed doen: LinkedIn is voor veel functies gewoon werk. Bovendien lost het niets op, want dezelfde benadering komt net zo goed via een privémailadres of een appje.

Hoe herken ik het verschil met een echte recruiter?

Kijk naar het proces, niet naar de persoon. Een echte recruiter kan gecontroleerd worden via het bedrijf, vindt het prima om via officiële kanalen te praten, vraagt nooit om geld, en heeft geen enkele reden om te weten hoe jullie facturen goedkeuren.

Zijn deze berichten niet steeds beter geworden door AI?

Ja. Taalfouten zijn als signaal onbruikbaar geworden, en dat gold al voor phishing in het algemeen. Ook een videogesprek is geen sluitend bewijs meer; zie wat er met deepfakes kan. Daarom draait het advies om het proces en de gevraagde handeling, niet om hoe echt iets oogt.

Moeten we dit vastleggen in beleid?

Een paar regels in je bestaande afspraken is genoeg: geen geld, geen identiteitsdocumenten, geen codes, geen bedrijfsinformatie, en waar je het meldt. Een apart document erover leest niemand.

Wat willen nep-recruiters precies van een medewerker?

Grofweg twee dingen. Criminelen willen inloggegevens, of ze willen malware op het apparaat. Bij de eerste route krijgen medewerkers een link naar een sollicitatieportaal dat lijkt op een bekende dienst; wie daar inlogt, geeft zijn wachtwoord weg. Bij de tweede route wordt gevraagd een opdracht of een testbestand te openen – een pdf, een archief, soms een stuk code – en zo komt de malware binnen. Daarnaast verzamelen oplichters gewoon persoonlijke gegevens: functie, telefoonnummer, met wie iemand samenwerkt. Dat is materiaal voor de volgende stap, waarin een collega het slachtoffer wordt van een gerichte mail die klopt tot in de details.

Hoe kun je dit binnen je team voorkomen?

De beste manier is niet meer waakzaamheid, maar een goede afspraak: geen bestanden openen en nergens inloggen op verzoek van iemand die je via LinkedIn benadert, hoe overtuigend het bericht ook oogt. Een zogenaamde recruiter zal altijd proberen vertrouwen te wekken – met een echt bestaand bedrijf, een kloppende functietitel en soms een gedeelde connectie. Maak het daarom mogelijk om zo’n bericht zonder gedoe te laten checken: een plek waar medewerkers oplichting kunnen melden, en de afspraak dat niemand daarop wordt aangekeken. Bedrijven die dat regelen, horen het eerder en nemen sneller maatregelen.

Wil je dit een keer als onderdeel van een bewustwordingssessie behandelen, met voorbeelden uit je eigen branche? We denken graag mee over wat voor jullie team relevant is.