CEO-fraude voorkomen begint bij een ongemakkelijke vaststelling: de mensen die het meest worden nagebootst, zijn zelden in de zaal wanneer er awareness wordt gegeven. Stel je een vrijdagmiddag voor. Een controller krijgt een bericht van de algemeen directeur, die op dat moment aantoonbaar op een congres zit. Er loopt een vertrouwelijke overname, de advocaat belt zo, en de betaling moet vandaag de deur uit. Niemand mag het weten. De controller kent de directeur van de kerstborrel en twee managementoverleggen. Bellen voelt als storen. De betaling gaat de deur uit.
Dat scenario is verzonnen, en het is zo herkenbaar omdat het in vrijwel elke organisatie kan gebeuren. Generieke awareness-campagnes trainen duizend medewerkers op een verdachte link. Het werkelijke financiële risico zit bij een groep van tien tot vijftien mensen, en die groep heeft een eigen sessie nodig.
Drie factoren die alleen bij deze groep samenkomen
De eerste factor is betaalbevoegdheid, en die maakt CEO-fraude zo lonend. Een medewerker die op een phishinglink klikt, geeft een aanvaller een ingang. Een medewerker van de crediteurenadministratie die een betaling goedkeurt, geeft hem het geld. Er zit geen technische stap tussen die nog kan worden onderschept.
De tweede factor is tijdsdruk, en die is bij finance structureel. Maandafsluitingen, betaalrondes en deadlines van leveranciers maken een urgent verzoek geloofwaardig, omdat urgentie daar normaal is. De Fraudehelpdesk noemt tijdsdruk expliciet als kenmerk van CEO-fraude: het geld moet snel worden overgemaakt.
De derde factor is status, en die wordt het vaakst onderschat. Volgens de Fraudehelpdesk wordt bij CEO-fraude sterk de nadruk gelegd op de gezagsverhouding en wordt de betaalopdracht als een bevel gegeven. De medewerker wordt gevleid, krijgt te horen dat hij vanwege zijn kwaliteiten is uitgekozen, en moet de zaak geheimhouden. Dat werkt omdat het aansluit op hoe hiërarchie in de meeste organisaties feitelijk voelt.
De directeur als grondstof voor de aanval
Elke keer dat een bestuurder spreekt op een congres, een podcast opneemt of een video op LinkedIn plaatst, levert hij materiaal aan. Toon, woordkeuze, bijnamen voor projecten, de namen van zijn directe collega’s: het staat openbaar. Een aanvaller die CEO-fraude voorbereidt, hoeft niet in te breken om een geloofwaardig bericht te schrijven.
Met gegenereerde stem en video is die voorbereiding nog eenvoudiger geworden. Het ingenieursbureau Arup verloor ongeveer 25 miljoen dollar nadat een medewerker in een videogesprek met een nagebootste CFO en andere gegenereerde collega’s zat en daarna een reeks overboekingen deed naar vijf rekeningen in Hongkong. Arup bevestigde tegenover de Financial Times dat er valse stemmen en beelden waren gebruikt. De fraude kwam pas aan het licht toen de medewerker contact opnam met het hoofdkantoor.
Het terugbelprotocol, jarenlang de standaardcontrole tegen CEO-fraude, verliest daarmee een deel van zijn waarde zodra de stem aan de andere kant zelf nagebootst kan worden. In onze blog over shadow AI beschreven we hoe overtuigend gegenereerde media inmiddels zijn. Wie dat nooit van dichtbij heeft gezien, overschat de zekerheid van een bekend stemgeluid.
Het hiërarchieprobleem lost een procedure niet op
In de meeste organisaties staat ergens beschreven dat betalingen boven een drempel door twee mensen worden goedgekeurd en dat wijzigingen van rekeningnummers worden geverifieerd. Die controles zijn in onze blog over business email compromise uitgebreid behandeld. Bij CEO-fraude zit het probleem zelden in de procedure. Het zit in het moment waarop een junior medewerker een procedure moet toepassen op een verzoek van de directeur.
Die medewerker heeft expliciete toestemming nodig om nee te zeggen, en die toestemming moet van de directeur zelf komen, hardop en voor de groep. Een zin in een beleidsdocument doet dat werk niet. Een directeur die in een sessie zegt “als ik je ooit vraag om een verificatie over te slaan, is dat het moment om mij te wantrouwen”, verandert iets wat geen poster kan veranderen.
Het omgekeerde gebeurt ook. Bestuurders zijn vaak de eersten die om een uitzondering vragen: geen tweestapsverificatie op de telefoon, een gedeeld wachtwoord met de secretaresse, betalingen vanaf een privéadres goedkeuren omdat dat op reis sneller gaat. Elke uitzondering die de directie voor zichzelf maakt, is een patroon dat een aanvaller kan nabootsen. Bij identity-based aanvallen zie je hetzelfde: het account met de meeste rechten heeft vaak de zwakste beveiliging.
Waarom een campagne voor duizend mensen dit mist
Een gesimuleerde phishingmail naar het hele bedrijf meet klikgedrag. Dat is nuttig, en het raakt de kern van CEO-fraude nauwelijks. CEO-fraude komt binnen via een telefoongesprek, een WhatsApp-bericht of een overtuigend mailtje zonder link, en het beslismoment is een goedkeuring in het betaalsysteem. Geen enkele klikratio vangt dat op.
Generieke campagnes vermijden ook het gevoelige deel. Ze praten over “medewerkers” en sparen de directie, omdat niemand de algemeen directeur in een groepstraining wil corrigeren. Waarom dat soort training weinig verandert, beschreven we in security awareness training werkt niet. Voor de hele organisatie blijft basale phishingdetectie als teamdiscipline zinvol. Voor deze groep is het onvoldoende.
Hoe een sessie voor twaalf mensen eruitziet
In de zaal zitten de directie, de CFO of financieel directeur, de controllers, de mensen van de crediteurenadministratie die betalingen klaarzetten, en het directiesecretariaat. Die laatste groep wordt vaak vergeten, terwijl zij agenda’s, reizen en mailboxen beheren en daarmee precies weten wanneer een directeur onbereikbaar is.
De sessie begint met een reconstructie op basis van wat er openbaar over de eigen organisatie te vinden is: wie de directeur is, wanneer hij spreekt, welke banken en leveranciers in het jaarverslag staan. Deelnemers schrijven samen het bericht dat een aanvaller zou sturen. Dat is het moment waarop CEO-fraude ophoudt een abstract risico te zijn.
Daarna wordt het weigeren geoefend. Een deelnemer van de administratie krijgt in een rollenspel een verzoek van iemand die de directeur speelt en moet de verificatie doorzetten terwijl de druk oploopt. De echte directeur kijkt mee en bevestigt daarna dat dit het gedrag is dat hij wil zien. Het oefenen met realistische scenario’s werkt hier op dezelfde manier als bij incident response: reflexen ontstaan onder druk, zelden uit een presentatie.
De sessie eindigt met afspraken die de directie zelf ondertekent: welke verzoeken nooit via chat of telefoon worden gedaan, welk verificatiekanaal geldt als de directeur op reis is, en wie er wordt gebeld als iets niet klopt. Wat dit alles voorkomt, valt te vergelijken met wat een cyberincident werkelijk kost.
Als CEO-fraude toch slaagt
Ook een goed getrainde groep maakt fouten. Wat dan telt, is snelheid, en die hangt af van de vraag of de medewerker durft te melden. Wie bang is voor de reactie van de directeur, wacht tot maandag. Leg daarom in dezelfde sessie vast wat er gebeurt in het eerste uur na een vermoedelijke CEO-fraude: de eigen bank wordt direct gebeld met het verzoek de betaling terug te halen, de financieel directeur en security worden ingelicht, en niemand gaat zelf nog met de afzender in gesprek.
Meld het daarna bij de Fraudehelpdesk en doe aangifte bij de politie. Bewaar de berichten, mailheaders en belgeschiedenis, want die zijn nodig voor onderzoek en voor de bank. Bespreek de poging achteraf openlijk met dezelfde groep. Een medewerker die een betaling tegenhield of snel meldde, verdient daar erkenning voor, ten overstaan van de directie. Dat signaal bepaalt hoe de volgende poging tot CEO-fraude wordt afgehandeld.
Wat het oplevert en hoe je het organiseert
De schaal van het probleem is groot. Het FBI Internet Crime Complaint Center registreerde in zijn rapport over 2024 21.442 meldingen van business email compromise met een totaal gerapporteerd verlies van ruim 2,77 miljard dollar, de op een na grootste schadepost van alle categorieën. CEO-fraude is daarvan een van de varianten. Voor organisaties in de financiële sector ligt de lat hoger, en voor het mkb kan één geslaagde betaling al het jaarresultaat kosten.
De Cyber Awareness Training van Trivian behandelt CEO-fraude als vast onderwerp naast phishing, ransomware, social engineering en malware, en is bedoeld voor iedereen in de organisatie, van medewerker tot directeur. De training is beschikbaar als halve dag, hele dag of in meerdere sessies, in totaal 8 of 16 uur, en wordt op maat gegeven, op locatie of online. Voor leidinggevenden en medewerkers met toegang tot gevoelige data adviseert Trivian een verdiepende sessie. Daar past precies de groep uit dit artikel in. De lessen zijn in het Nederlands, het lesmateriaal in het Engels.
Wie het onderwerp eerst in het managementteam wil agenderen, vindt handvatten in je MT meekrijgen op cybersecurity. Ook de grens met insider threats en de rol van HR komt in zo’n sessie vaak vanzelf ter sprake. De mogelijkheden voor teamtrajecten staan op de pagina voor werkgevers, open data in de agenda. Wil je een sessie voor je eigen directie en finance bespreken, plan dan een kennismaking.
