Factuurfraude voorkomen: drie checks voor je een nieuw IBAN betaalt

Factuurfraude is saai, simpel en peperduur. Zo voorkom je met drie snelle checks en één bel-regel dat je betaalt naar een verkeerd IBAN.

Je vraagt een nieuwe leverancier om een offerte. Een paar dagen later krijg je een mail terug met het IBAN en een verzoek of je het voorschot wilt overmaken. Klinkt normaal. Maar hoe weet je zeker dat dat IBAN klopt — en niet ergens onderweg is veranderd door iemand die op je mail meekijkt?

Factuurfraude is een van de saaiste, maar duurste vormen van cybercriminaliteit voor het MKB. Geen spectaculaire hack, geen ransomware-scherm. Gewoon een bedrag dat naar het verkeerde rekeningnummer gaat en daarna weg is. In dit stuk laten we zien hoe je dat in een paar minuten voorkomt — zonder dat je iets ingewikkelds hoeft te installeren.

Hoe factuurfraude in de praktijk werkt

De meest voorkomende variant heet CEO-fraude of BEC (Business Email Compromise). De truc is bijna altijd hetzelfde:

1. Iemand krijgt toegang tot de mailbox van een leverancier (of doet zich voor als die leverancier met een lookalike-domein, bijvoorbeeld leveran-cier.nl in plaats van leverancier.nl).
2. Er wordt een echte factuur onderschept of nagemaakt.
3. Alleen het IBAN wordt aangepast. Verder ziet de factuur er identiek uit: logo, opmaak, BTW-nummer, alles klopt.
4. Jij betaalt. Een paar dagen later belt de echte leverancier waar het geld blijft.

Dat geld is dan meestal al doorgesluisd via een katvanger-rekening en in het buitenland. Terughalen lukt zelden.

Drie controles die je altijd zou moeten doen

Je hoeft hier geen finance-afdeling voor te hebben. Voor elke betaling boven een bedrag dat jij relevant vindt (wij zeggen vaak: € 500), doe je deze drie checks.

1. Klopt het IBAN technisch?

Een IBAN heeft een ingebouwde controlecijfer-berekening. Als iemand met de haast één cijfer verkeerd typt, valt dat op. Maar als een fraudeur expres een geldig IBAN gebruikt, gaat het er gewoon doorheen. De technische check vangt dus typefouten af, geen kwaadwilligheid.

Wel handig: je kunt aan een IBAN zien bij welke bank en in welk land het hoort. Als je leverancier al jaren bij de ING zit en je krijgt ineens een Litouws IBAN dat begint met LT, dan klopt er iets niet. Met onze IBAN-check haal je dat in twee seconden boven water.

2. Klopt het BTW-nummer bij de naam?

Bij nieuwe leveranciers of bij grotere bedragen wil je weten of het BTW-nummer écht hoort bij het bedrijf dat op de factuur staat. De Europese VIES-database geeft daar antwoord op. Onze VAT-check doet die controle voor je en laat zien welke bedrijfsnaam en adres er volgens de belastingdienst aan hangen. Wijkt dat af van de factuur? Dan bellen, niet mailen.

3. Klopt het adres bij de postcode?

Klinkt triviaal, maar het is een verrassend goede check tegen lookalike-facturen. Met de postcode-check zie je meteen of het opgegeven adres bestaat en op welke locatie. Een factuur waarop de postcode niet bij het straatadres past, is geen factuur waar je nog vragen over hoeft te stellen.

Verifieer wijzigingen áltijd via een tweede kanaal

De gouden regel: als een leverancier een rekeningnummer wijzigt, bel je het bekende telefoonnummer dat je al in je administratie hebt staan. Niet het nummer onderaan de mail (dat kan ook aangepast zijn). Niet WhatsApp (eenvoudig te spoofen). Bellen, met je eigen contactpersoon, en vragen: "Klopt het dat jullie een nieuw IBAN hebben?"

Dat ene telefoontje van twee minuten heeft al heel veel MKB's miljoenen bespaard. Maak er een interne regel van en laat iedereen die betalingen doet die regel kennen.

Vier-ogen-principe voor betalingen

De tweede regel: laat betalingen boven een drempel altijd door iemand anders accorderen. In zo'n beetje elk modern bankpakket — Rabo, ING, ABN, Knab, bunq Pro — kun je dit instellen als tweede fiatteur. De persoon die de betaling klaarzet, kan hem niet zelf goedkeuren. Iemand anders kijkt nog een keer naar het IBAN voor er op verzenden gedrukt wordt.

Dit is vooral handig omdat het systeem zelf dwingt tot een korte pauze. En in die pauze valt 90% van de fraudegevallen door de mand, want haast is het belangrijkste wapen van de oplichter ("kan dit vandaag nog overgemaakt worden?").

Mail beveiligen voorkomt dat jij de zwakke schakel bent

Tot nu toe hadden we het over hoe je voorkomt dat jij betaalt aan een fraudeur. Maar het kan ook andersom: een crimineel kaapt jouw mail of doet zich voor als jou, en jouw klanten betalen aan een verkeerd rekeningnummer. Daar gaat jouw relatie én jouw reputatie aan kapot.

De technische maatregelen die dat voorkomen heten SPF, DKIM en DMARC. Met die drie samen kan een ontvangende mailserver vaststellen of een mail écht van jouw domein komt. Wij regelen dat regelmatig voor MKB-klanten in onze mail-beveiliging-dienst. Vaak duurt het minder dan een dag.

Korte checklist voor maandag

• Spreek een drempelbedrag af waarboven altijd extra gecontroleerd wordt.
• Zet tweede fiatteur aan in je bankomgeving.
• Stel de regel in: IBAN-wijziging? Bellen via een bekend nummer, nooit alleen mailcontact.
• Check nieuwe leveranciers altijd met IBAN-, BTW- en postcode-check vóór de eerste betaling.
• Controleer of SPF, DKIM en DMARC op je eigen domein in orde zijn.

Wil je nu meteen een nieuwe factuur valideren? Begin bij onze IBAN-check en VAT-check. Twee minuten werk, en je weet zeker dat het geld op de juiste plek aankomt.