"We hebben een nieuw rekeningnummer": zo ga je om met een leverancier die zijn IBAN wijzigt

Een mailtje van een bekende leverancier met een nieuw rekeningnummer klinkt onschuldig, maar dit is een van de meest voorkomende manieren waarop MKB-bedrijven duizenden euro's kwijtraken. Zo pak je het netjes aan.

Je krijgt een keurige mail van een leverancier waar je al jaren zaken mee doet. "Beste klant, per direct hanteren wij een nieuw rekeningnummer. Wilt u dit aanpassen in uw administratie?" Onderaan staat een handtekening, misschien zelfs een logo. Alles ziet er normaal uit.

En toch is dit het scenario waar veel MKB-bedrijven de laatste jaren duizenden — soms tienduizenden — euro's mee zijn kwijtgeraakt. Niet door hackers die inbreken op je computer, maar door één mailtje dat net op het juiste moment binnenkomt. In de branche heet dit CEO-fraude, factuurfraude of Business Email Compromise. In gewone taal: iemand doet zich voor als je leverancier en laat je geld overmaken naar zijn rekening.

Waarom dit trucje zo goed werkt

Fraudeurs weten precies wat ze doen. Ze sturen zo'n mail vaak op momenten dat het aannemelijk is: rond de jaarwisseling, na een vakantieperiode, of vlak nadat je écht een offerte of factuur van die leverancier hebt ontvangen. Soms hebben ze de mailbox van jouw leverancier gehackt en meelezen ze een tijdje mee. Dan weten ze exact wanneer er een factuur onderweg is en sturen ze precies op dat moment een "correctie" met het nieuwe rekeningnummer.

Andere keren is het simpeler: ze maken een mailadres aan dat lijkt op dat van je leverancier (bijvoorbeeld @bedrjif.nl in plaats van @bedrijf.nl), of ze zetten in de "van"-naam iets herkenbaars terwijl het echte adres iets heel anders is.

De vaste routine die je een hoop ellende bespaart

Je hoeft geen IT'er te zijn om je hiertegen te wapenen. Spreek intern één simpele regel af: een wijziging van een rekeningnummer accepteer je nooit alleen op basis van een mail. Punt. Ook niet als het van je vaste contactpersoon lijkt te komen. Ook niet als het logo klopt. Ook niet als er "spoed" bij staat (juist dan niet).

Wat wél werkt:

1. Bel de leverancier terug. Niet op het nummer dat in de mail staat, maar op het nummer dat je al kent — uit je administratie, van hun website, of van een oude factuur. Vraag simpelweg: "Klopt het dat jullie een nieuw rekeningnummer hebben?" Meestal is het antwoord: nee.
2. Check het IBAN zelf. Een geldig IBAN heeft een vaste opbouw en een controlegetal. Fraudeurs gebruiken soms nummers die er wel goed uitzien maar niet kloppen. Onze IBAN-check laat je in twee seconden zien of een nummer technisch klopt en bij welke bank het hoort.
3. Check op wiens naam de rekening staat. Bij een overboeking laat je bank tegenwoordig zien op welke naam een rekeningnummer geregistreerd staat (IBAN-naamcheck). Staat daar iets anders dan je verwacht — bijvoorbeeld een persoonsnaam in plaats van de bedrijfsnaam? Stop direct.
4. Bekijk het originele mailadres. Niet alleen de naam die je in je inbox ziet, maar het volledige adres. Klik op de afzender en let op vreemde tekens, extra letters of een ander domein dan gebruikelijk.

Leg het vast in een korte procedure

Als er meerdere mensen bij jou betalingen doen — de boekhouder, een assistent, iemand op kantoor die af en toe inspringt — dan is het slim om dit één keer op papier te zetten. Niet als dik protocol, gewoon een A4'tje met vier regels:

• Nieuwe rekeningnummers worden nooit alleen op basis van een mail verwerkt.
• We bellen altijd terug op een bekend nummer voor bevestiging.
• Bij bedragen boven X euro tekent altijd een tweede persoon mee.
• Bij twijfel: niet betalen, eerst overleggen.

Die laatste regel is misschien wel de belangrijkste. Fraudeurs rekenen op tijdsdruk en op het gevoel dat je iemand niet wilt laten wachten. Een dag later betalen is bijna nooit een probleem. Verkeerd geld overmaken wel — dat krijg je in de praktijk zelden meer terug.

Wat als het toch is misgegaan?

Merk je binnen een paar uur dat er een verkeerde betaling is gedaan? Bel meteen je bank. Als de fraudeur het geld nog niet heeft doorgesluisd, kan de bank de betaling soms terugdraaien. Doe daarnaast altijd aangifte bij de politie en meld het bij de Fraudehelpdesk. Informeer ook je échte leverancier: grote kans dat hun mailbox gehackt is en dat andere klanten dezelfde mail hebben ontvangen.

En je eigen mail dan?

Andersom kan het jou natuurlijk ook overkomen: dat iemand zich voordoet als jouw bedrijf en jouw klanten oplicht. Dat voorkom je grotendeels met goede mail-beveiliging (SPF, DKIM en DMARC). Dat is één keer instellen en het maakt het voor fraudeurs een stuk lastiger om namens jouw domein te mailen.

Kort samengevat: een nieuw rekeningnummer accepteer je nooit alleen op basis van een mail. Bellen kost dertig seconden. Twijfel je over een IBAN? Gooi hem even door onze IBAN-check voor je iets overmaakt.