"De baas is op vakantie, kun jij dit even regelen?" — herken zomerfraude

In de vakantieperiode zien we een piek in CEO-fraude en spoedbetalingen "namens de baas". Zo herken je zo'n bericht en welke afspraken voorkomen dat je erin trapt.

Het is een klassiek zomerscenario: je collega of vaste leverancier belt vanaf een privénummer, of stuurt een appje vanuit "even snel op vakantie". Het nummer klopt niet met wat je in je telefoon hebt staan, of de afzender zegt: "ik gebruik nu even mijn privé-mail". Klinkt logisch — het is zomer, mensen wisselen van apparaat, laptops blijven thuis. Maar juist in deze weken maken oplichters daar dankbaar gebruik van.

Deze zomer zien we opvallend veel meldingen van MKB-ondernemers die iets moesten regelen "namens de directeur die op vakantie is". Vaak gaat het om een spoedbetaling, een cadeaubon, of het doorsturen van gegevens. Hoe herken je zo'n bericht, en wat spreek je vooraf af zodat je niet in paniek beslist?

Waarom vakantieperiode een piek is voor CEO-fraude

Fraudeurs weten twee dingen: in juli en augustus is de baas vaker onbereikbaar, en de vaste procedures worden soepeler. Wie normaal drie handtekeningen nodig heeft voor een factuur, krijgt in de zomer sneller een "regel jij het even?" te horen. Precies dat gat wordt misbruikt.

De aanpak is bijna altijd hetzelfde:

• Een bericht van een "bekende" (directeur, boekhouder, grote klant) vanaf een onbekend nummer of mailadres.
• Een verhaal waarom het normale kanaal even niet werkt: "mijn telefoon is gestolen", "ik zit in het buitenland zonder wifi", "ik ben in een meeting".
• Tijdsdruk: het moet vandaag, liefst binnen een uur.
• Een vraag die net buiten de normale procedure valt: een betaling naar een nieuw rekeningnummer, cadeaubonnen kopen, of inloggegevens doorsturen.

Het slimme is dat er nauwelijks technische trucs bij komen kijken. Geen gehackte accounts, geen virussen. Puur sociale manipulatie via een kanaal dat je niet kunt controleren.

Vijf checks voordat je actie onderneemt

1. Bel terug op het bekende nummer

Niet op het nummer waar het bericht vandaan komt. Zoek het nummer op in je eigen contacten of op de website. Krijg je de voicemail? Wacht dan. "Ik ben in een meeting en kan niet bellen" is een klassiek fraudeur-excuus.

2. Check het mailadres teken voor teken

Fraudeurs registreren domeinen die er bijna hetzelfde uitzien: jansen-bv.nl in plaats van jansenbv.nl, of een hoofdletter I in plaats van een kleine l. Kopieer bij twijfel het adres in een tekstverwerker en zet 'm groot.

3. Vraag iets wat alleen de echte persoon weet

Niet iets uit LinkedIn of van de website. Wel iets uit een recent gesprek: "over welk project belde je gisteren?" Een fraudeur haakt dan meestal af of wordt boos ("geen tijd voor spelletjes").

4. Vertrouw geen enkele wijziging van rekeningnummer via mail of app

Een nieuw rekeningnummer verifieer je altijd telefonisch, via het nummer dat je al kende. Dit geldt óók voor je eigen collega's. We schreven eerder over deze specifieke truc.

5. Trek aan de bel bij een tweede persoon

Ook al lijkt het spoed: even een collega meelezen kost twee minuten. Fraudeurs rekenen erop dat je alleen bent. Een tweede paar ogen doorbreekt bijna altijd het patroon.

Wat spreek je vooraf af binnen je bedrijf?

De belangrijkste bescherming zit niet in techniek, maar in duidelijke afspraken die iederéén kent. Vooral de mensen die 's zomers de winkel draaien.

• Vier-ogen-principe bij betalingen boven een bedrag. Bijvoorbeeld: alles boven €500 wordt door twee mensen gefiatteerd, ook als de directeur belt.
• Geen wijzigingen van bankgegevens via mail of app. Punt. Alleen telefonisch, via het bekende nummer.
• Een codewoord voor spoedgevallen. Klinkt overdreven, maar werkt. Als iemand van "buiten kantoor" om iets ongewoons vraagt, moet het codewoord genoemd worden.
• Vakantie-vervanging is duidelijk. Wie neemt beslissingen als de directeur weg is? En wie juist niet? Zet dat op papier voor de vakantie begint.
• Meld verdachte berichten intern. Ook als je er niet in trapte. Zo weten collega's dat er iets rondgaat.

Technische basis op orde

Afspraken zijn de kern, maar een paar technische maatregelen maken het fraudeurs wel moeilijker:

• SPF, DKIM en DMARC ingeregeld op je mail. Dan is het lastiger om berichten te versturen die lijken te komen van je eigen domein. Bekijk onze mail-beveiliging.
• 2FA op alle zakelijke accounts. Dan is een gestolen wachtwoord alleen niet genoeg. Zie 2FA implementeren.
• IBAN's controleren voor je betaalt. Met onze IBAN-check zie je snel of een rekeningnummer geldig is en bij welke bank hoort.

Wat als het toch misging?

Ontdek je binnen enkele uren dat er een betaling naar een oplichter is gegaan? Bel meteen je bank — soms kan een overboeking nog worden teruggehaald. Meld het ook bij de politie en bij de Fraudehelpdesk. En bespreek intern: hoe kon dit gebeuren, welke afspraak ontbrak? Niet om iemand aan te wijzen, wel om het volgend jaar te voorkomen.

De zomer is er om even niet aan werk te denken. Zorg dat je bedrijf zó geregeld is dat één afwezige beslisser geen fraudekans wordt. Twijfel je over je huidige mail- en toegangsafspraken? Onze toegang-check brengt in kaart wie wat kan en waar de risico's zitten.