"Ons rekeningnummer is gewijzigd": hoe check je die mail voor je betaalt?

Een mail met "ons rekeningnummer is gewijzigd" is een van de meest gebruikte fraudetrucs richting het MKB. Met vijf simpele checks en één werkafspraak voorkom je bijna alle schade.

Je bent op vakantie, of net terug van een lange weekend. Je opent je laptop en ziet in je mailbox een nette mail van je "boekhouder" of "leverancier": of je het rekeningnummer voor de laatste factuur even wilt aanpassen. Het gaat om een IBAN dat je nog nooit gezien hebt. Klopt dit? En hoe check je dat zonder meteen te bellen midden in een drukke werkdag?

Wijziging van een bankrekeningnummer is een van de klassiekers waar het MKB in trapt. De schade loopt vaak in de duizenden euro's per geval. Het goede nieuws: met een paar simpele afspraken en een minuutje extra werk voorkom je bijna al deze fraude.

Waarom rekeningnummer-fraude zo goed werkt

Fraudeurs gokken op drie dingen:

• Tijdsdruk. De mail komt binnen op vrijdagmiddag of vlak voor een feestdag.
• Herkenbaarheid. De naam van de afzender klopt, de handtekening klopt, soms zelfs de opmaak van eerdere mails.
• Routine. Wie een IBAN in de administratie aanpast, doet dat vaak zonder tweede paar ogen.

De mail hoeft niet eens uit een gehackt account te komen. Vaak is het een look-alike-domein of gewoon een spoof waar niemand op let. De inhoud is meestal keurig geformuleerd: "vanwege een wijziging bij onze bank" of "we werken sinds kort met een nieuwe entiteit". Klinkt logisch. Is het niet.

De vijf checks die je altijd doet

1. Klopt het IBAN technisch?

Elk IBAN heeft een ingebouwde controle. Een typefout of verzonnen nummer valt daar meteen door. Dit is de allereerste zeef: als een nummer al niet geldig is, hoef je verder ook niet te bellen.

Onze IBAN-check doet dit in twee seconden. Je plakt het nummer, en je ziet direct of de opbouw klopt en welke bank erbij hoort.

2. Past de bank bij het land van de leverancier?

Je Nederlandse hoveniersbedrijf dat opeens vraagt om over te maken naar een rekening in Litouwen? Rood knipperlicht. Niet altijd fraude — sommige bedrijven werken met een buitenlandse betaaldienstverlener — maar altijd reden om te bellen.

Kijk ook of het bankland matcht met wat je eerder in je systeem had staan. Een wijziging van ING naar Rabobank is te verklaren. Een wijziging van ABN AMRO naar een Bulgaarse online bank is dat zelden.

3. Bel het bekende nummer terug — niet het nummer uit de mail

Dit is de belangrijkste regel, en tegelijk degene die het vaakst wordt overgeslagen. Bel het telefoonnummer dat je zelf al in je administratie hebt staan, of dat op de officiële website van de leverancier vermeld staat. Niet het nummer onder de mail. Dat is namelijk precies het nummer waar de fraudeur zelf opneemt.

Vraag concreet: "Ik heb net een mail gehad dat jullie rekeningnummer wijzigt naar NL.. — klopt dat?" Vijf zinnen, klaar.

4. Vergelijk met de KVK

Bij grotere wijzigingen (nieuwe entiteit, nieuwe handelsnaam, wijziging naar buitenlandse rekening) check je ook even het KVK-nummer en de bedrijfsnaam. Als een leverancier "vanwege een reorganisatie" opeens onder een andere BV factureert, wil je zeker weten dat die BV bestaat en dat jouw contactpersoon daar echt aan verbonden is.

5. Twee paar ogen bij het aanpassen

Spreek in je team af: een IBAN-wijziging in de crediteurenadministratie wordt altijd door iemand anders bevestigd voordat de eerste betaling eruit gaat. Dat kost dertig seconden en scheelt in het slechtste geval een kwartaalwinst.

Een klein protocol dat werkt

Zet dit — letterlijk — op een A4 naast het bureau van wie de administratie doet:

1. IBAN-wijziging binnengekomen? Niet meteen aanpassen.
2. Check het IBAN in de IBAN-check.
3. Bel het nummer dat al bij ons in het systeem staat.
4. Bevestig mondeling: welke persoon, welk nieuw IBAN, per welke datum.
5. Laat een tweede collega de aanpassing in het boekhoudsysteem tegenlezen.
6. Zet de eerste betaling — als het even kan — op een klein bedrag als test.

Dat laatste is een handige truc bij grote overboekingen naar een nieuw IBAN: maak eerst 0,01 over met een duidelijke omschrijving, en vraag de leverancier telefonisch te bevestigen dat het binnen is. Pas daarna de volledige factuur.

En als het toch misgaat?

Ontdek je binnen enkele uren dat er is overgemaakt naar een frauduleus IBAN? Bel direct je eigen bank. Als het bedrag nog niet is opgenomen door de fraudeur, kan de bank het in sommige gevallen terughalen of blokkeren. Elke minuut telt. Doe daarnaast aangifte bij de politie en meld het bij Fraudehelpdesk — dat helpt om het patroon in kaart te brengen.

Waarschuw ook je leverancier: grote kans dat hun mailomgeving of die van jou gecompromitteerd is, en dat andere klanten dezelfde mail krijgen.

Klein moment, groot verschil

De grap van rekeningnummer-fraude is dat er geen enkele geavanceerde techniek voor nodig is. Het werkt omdat mensen druk zijn en systemen geen ingebouwde stop hebben. Dat betekent ook: met een simpele werkafspraak en dertig seconden extra ben je er in bijna alle gevallen doorheen.

Wil je die eerste check echt in twee klikken kunnen doen? Bookmark onze IBAN-check in je browser, en zet 'm bij je andere administratie-tabbladen. Twijfel je of je hele inkoop- en betaalproces waterdicht is? Kijk dan eens naar onze toegang-check — daarin nemen we samen door wie er bij welke betalingen kan, en welke tweede-paar-ogen-checks logisch zijn voor jouw bedrijf.