IBAN-wijzigingsfraude herkennen
Een e-mail kondigt nieuwe bankgegevens aan, een factuur komt binnen met een ander rekeningnummer, een ‘directeur’ eist een dringende en vertrouwelijke overschrijving. Deze fraude treft micro-ondernemingen evengoed als grote bedrijven, en één enkele overschrijving kan zeer duur uitvallen.
Redactieteam van Kayzen Security4 min leestijd
De meest voorkomende scenario's
- De valse leverancier: een bericht, soms verstuurd vanuit de echte, gehackte mailbox van de leverancier, kondigt een ‘bankwissel’ aan en voegt nieuwe rekeninggegevens toe.
- De valse directeur (of ‘CEO-fraude’): een zogenaamde directeur vraagt een dringende en vertrouwelijke overschrijving voor een gevoelige operatie.
- De valse factuur: een factuur die identiek is aan de gebruikelijke, maar met een gewijzigd IBAN, soms in een echte e-mailconversatie geschoven.
- De valse werknemer: een verzoek aan de loonadministratie om het rekeningnummer voor de betaling van het salaris te wijzigen.
De signalen die u moeten doen stoppen
- Een verzoek om bankgegevens te wijzigen, ongeacht de rechtvaardiging.
- Tijdsdruk (‘vóór vanavond’, ‘anders wordt de levering geblokkeerd’).
- Een verzoek om discretie of om de gebruikelijke procedure te omzeilen.
- Een licht afwijkend afzenderadres (één letter veranderd, een andere domeinnaam) of een antwoord dat naar een ander adres gaat.
- Een IBAN in een land dat ongebruikelijk is voor deze leverancier, of een rekeninghouder die niet precies overeenkomt met het bedrijf.
De controleprocedure die u moet invoeren
De doeltreffendste verdediging is een eenvoudige, geschreven regel die iedereen kent: geen enkele wijziging van bankgegevens wordt geregistreerd zonder terugbelcontrole.
- Systematisch terugbellen naar het nummer in uw leveranciersfiche of op een oud contract, nooit naar het nummer in het bericht.
- Dubbele validatie: wie het nieuwe IBAN invoert, is niet degene die de eerste betaling goedkeurt.
- Wachttijd: geen grote betaling in de dagen na een wijziging van gegevens.
- Controle van de begunstigde: sinds 9 oktober 2025 moeten banken in de eurozone vóór een SEPA-overschrijving aangeven of de naam van de begunstigde overeenkomt met het IBAN (règlement (UE) 2024/886). Lees dit resultaat aandachtig: het is een vangnet, geen garantie. Voor gegroepeerde overschrijvingen die als bestand worden aangeleverd, kan een bedrijf van deze controle hebben afgezien: informeer bij uw bank.
- Bewustmaking: leg deze scenario's uit aan de boekhouding, de loonadministratie en het directiesecretariaat, die het vaakst worden geviseerd.
Als de overschrijving al vertrokken is
- Bel onmiddellijk uw bank om de terugroeping van de gelden te vragen: de kans op recuperatie neemt uur na uur af.
- Bewaar alle bewijzen (e-mails met hun headers, facturen, afschriften) zonder ze te wijzigen.
- Doe aangifte bij de politie of de gendarmerie.
- Verwittig de echte leverancier of de echte directeur: zijn mailbox is misschien gehackt, en andere klanten kunnen worden geviseerd.
- Laat u doorverwijzen door 17Cyber (17cyber.gouv.fr) en verwittig uw verzekeraar als u een cyber- of fraudedekking hebt; voor een cyberdekking kan de schadevergoeding een aangifte binnen 72 uur vereisen (code des assurances, article L.12-10-1, te bevestigen met uw verzekeraar).
Officiële bronnen
- Cybermalveillance.gouv.fr (nieuw tabblad) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
- 17Cyber (nieuw tabblad) — Le réflexe en cas de cybermalveillance (Police nationale, Gendarmerie nationale, Cybermalveillance.gouv.fr)
- EUR-Lex (nieuw tabblad) — Règlement (UE) 2024/886 (virements instantanés, vérification du bénéficiaire)
De genoemde bronnen worden door hun auteurs in hun oorspronkelijke taal gepubliceerd. Kayzen is niet verbonden aan een van deze organisaties.
Deze gids is informatief en algemeen. Hij vervangt geen juridisch advies en geen tussenkomst van een professional in IT-beveiliging.