Het scenario
De CNIL (de Franse privacytoezichthouder) beschrijft de valse betalingsopdracht, ook “CEO-fraude” genoemd, in meerdere stappen. De oplichter wint informatie in over het bedrijf: organigram, klanten, leveranciers. Hij bereidt een valse domeinnaam voor die lijkt op die van het bedrijf of van een leverancier, of neemt de identiteit van een medewerker over. Daarna schrijft of belt hij, terwijl hij zich voordoet als een bestuurder of een leverancier, met een verzoek dat als dringend en hogerop goedgekeurd wordt voorgesteld.
De varianten lijken op elkaar:
- een onverwachte, dringende en vertrouwelijke overschrijving, gevraagd door een valse bestuurder of een valse verantwoordelijke van de groep;
- een leverancier die een wijziging van bankgegevens aankondigt voor de volgende facturen;
- een valse factuur, met het juiste bedrag en in het juiste formaat;
- een valse controle door een overheidsinstantie, die daarna wordt gebruikt om de klanten van het bedrijf te schrijven met een nieuwe bankrekening, een scenario dat het Franse ministerie van Economie beschrijft.
De drijfveer is altijd menselijk: urgentie, geheimhouding, gezag. Het ministerie van Economie raadt aan niet overhaast te handelen, zelfs niet tegenover een aandringende gesprekspartner, en extra waakzaam te zijn tijdens vakanties, wanneer de boekhouding met minder mensen draait.
Een voorbeeld, ter illustratie. Op een vrijdag laat in de middag ontvangt de boekhoudster van een mkb-bedrijf een bericht van de “algemeen directeur”: een vertrouwelijke overname, een advocaat die zal bellen, een overschrijving die vóór maandag moet gebeuren. Het bericht bevat geen bijlage of link. De weergavenaam klopt, het adres niet. Technisch is niets “besmet”.
Vier vormen van imitatie, niet één
| Vorm | Hoe ze eruitziet | SPF, DKIM, DMARC | Wat ze kan opmerken |
|---|
| Misbruikte weergavenaam | “Claire Martin, DG”, geschreven vanaf een gratis e-maildienst | Geldig voor het echte domein van de afzender; DMARC behandelt de weergavenaam niet | Vergelijking tussen de getoonde naam, het adres en de namen van het kaderpersoneel van het domein |
| Lookalike-domein | Een verdubbelde letter, een koppelteken, een andere extensie | Kunnen perfect zijn voor het lookalike-domein | Gelijkenis met uw domein of dat van een leverancier, ouderdom van het domein, reputatie |
| Uw exacte domein, van elders verzonden | Het getoonde adres is het echte | DMARC faalt; het houdt het bericht tegen als het beleid van het domein dat vraagt | DMARC-controle bij aankomst |
| Echt gecompromitteerd account | Het bericht komt uit de echte mailbox van de bestuurder of de leverancier | Alles is geldig | Gedragsverandering, inhoud (nieuwe bankgegevens), en vooral de controleprocedure |
De specificatie van DMARC zegt het zelf: ze behandelt noch visueel gelijkende domeinen, noch misbruik van de weergavenaam. Drie van de vier gevallen ontsnappen dus aan de authenticatie van het domein. De details staan in SPF, DKIM en DMARC, en het geval van het gestolen account in spam, phishing, malware en gecompromitteerd account.
Wat de techniek tegenhoudt
- Het exact misbruikte domein, wanneer het domein een DMARC-beleid van quarantaine of weigering publiceert.
- Het lookalike-domein, door vergelijking met uw domein, dat van uw leveranciers en bekende merken, en door de ouderdom van het domein: een domein dat vorige week is aangemaakt en het uwe imiteert, is een sterk signaal.
- De misleidende weergavenaam, wanneer de filter weet wie het kaderpersoneel van het bedrijf is en de getoonde naam vergelijkt met het echte adres.
- Bekende scenario’s: een verzoek om een dringende overschrijving, een wijziging van bankgegevens, een valse factuur, een uitnodiging om een nummer terug te bellen. Een filter kan deze patronen in de tekst herkennen, zelfs zonder bijlage of link.
- De afwijking: een vaste leverancier die plots vanuit een ander land schrijft, op een ander uur, met een verzoek dat hij nooit heeft gedaan.
Een punt dat vaak wordt vergeten: een filter weet standaard niet wie uw bestuurder is, noch wie uw leveranciers zijn. Hem die context geven, de namen van het kaderpersoneel en de vaste leveranciers, is wat hem in staat stelt een valse bestuurder te zien.
Wat de techniek niet beslist
Een filter vermindert het aantal valse berichten dat binnenkomt. Hij keurt geen betaling goed. Een echt gecompromitteerd account, een plausibel verzoek, een lookalike-domein dat niet op de lijsten staat: een bericht kan erdoor glippen. De laatste barrière is een procedure.
Reflexen om in de procedure op te nemen
- Elke wijziging van bankgegevens wordt bevestigd via een al bekend kanaal: een telefoontje naar het nummer van de leverancier dat in uw dossiers staat, nooit het nummer uit het bericht. De CNIL beveelt aan de bekende contactpersonen telefonisch of persoonlijk te contacteren.
- Dubbele goedkeuring boven een drempel, door twee personen, van wie één buiten de berichtenreeks staat.
- Urgentie en geheimhouding zijn alarmsignalen, geen redenen om sneller te gaan. Een echte bestuurder aanvaardt dat u terugbelt.
- Een actuele lijst van contactpersonen bij leveranciers en klanten, zoals de CNIL aanbeveelt, om te weten wie u moet bellen.
- Verhoogde waakzaamheid tijdens vakanties, jaarafsluitingen of organisatiewijzigingen.
- Registratie van domeinnamen die op de uwe lijken, en tweestapsverificatie op de e-mailomgeving, twee maatregelen die de CNIL noemt.
Wie deze regels moet kennen
Niet alleen de boekhouding. Directieassistenten, inkopers, wie de leveranciersfiches beheert en wie een afwezige vervangt, zijn natuurlijke doelwitten van het scenario, omdat zij toegang hebben tot de betaling of tot de bankgegevens. De CNIL beveelt aan medewerkers bewust te maken om domeinnamen te controleren en op hun hoede te zijn voor ongebruikelijke verzoeken. Een geschreven regel, kort, bij iedereen bekend en regelmatig in herinnering gebracht, is beter dan een mondelinge instructie: hij stelt een medewerker in staat “nee” te zeggen tegen een valse bestuurder zonder te vrezen dat hij wordt teruggefloten.
Als er een frauduleuze overschrijving is vertrokken: bel onmiddellijk de bank om te proberen ze te annuleren, bewaar de berichten, doe aangifte. Verwittig ook de klanten of leveranciers van wie de naam is gebruikt.
Veelgestelde vragen
Volstaat DMARC tegen CEO-fraude?
Nee. Het houdt het exacte misbruik van uw domein tegen, niet het lookalike-domein en niet de weergavenaam. Zie SPF, DKIM en DMARC.
Kan een bericht zonder bijlage of link gevaarlijk zijn?
Ja. Betalingsfraude heeft alleen een geloofwaardige tekst nodig en iemand die uitvoert.
Het bericht komt van het echte adres van de leverancier: is het dan veilig?
Niet noodzakelijk: zijn account kan gestolen zijn. Zie gecompromitteerd account. De telefonische controle geeft de doorslag.
Een frauduleus bericht staat in quarantaine: moet u het vrijgeven om het te controleren?
Nee. Controleer bij de bekende contactpersoon, zonder vrij te geven. Zie Quarantaine, valspositieven en meldingen.
Waar Klytic staat
Klytic MTA verdeelt deze bescherming over zijn twee formules. Het werkt vóór elke e-mailomgeving, zonder Klytic Mail.
| Bescherming | Essential | Advanced |
|---|
| Controle van SPF, DKIM, DMARC, ook voor doorgestuurde berichten | Ja | Ja |
| Merkimitatie, lookalike-domeinen, misbruik van de weergavenaam | Ja | Ja |
| Ongebruikelijk gedrag van een afzender | Ja | Ja |
| CEO-fraude | Nee | Ja |
| Valse facturen, valse overschrijvingen, crypto, terugbetalingen, financieringen, telefoontjes | Nee | Ja |
| Sms-melding wanneer een belangrijke afzender schrijft | Optie | Optie |
De fraudecontext van het domein (namen van het kaderpersoneel, vaste leveranciers) wordt ingesteld door de domeinbeheerder: zie Wie stelt de filter in bij Klytic MTA.
Wat Klytic MTA niet doet: het keurt geen enkele betaling goed en vervangt uw betalingsprocedure niet. Het ziet geen rechtstreeks telefoongesprek, alleen de berichten die uitnodigen om te bellen.
Deze pagina beschrijft algemene maatregelen. Ze vervangt noch het advies van uw bank, noch dat van de autoriteiten bij bewezen fraude.
Bronnen
Geraadpleegd in oktober 2026.
- CNIL, “Le faux ordre de virement international ou fraude au président” (De valse internationale betalingsopdracht of CEO-fraude): verloop van de aanval (verkenning, gelijkend domein, dringend verzoek), preventiemaatregelen (terugbellen van bekende contactpersonen, goedkeuringsprocedures, registratie van gelijkende domeinen, tweestapsverificatie). cnil.fr
- Ministère de l’Économie, “Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président” (Zich beschermen tegen oplichting met valse betalingsopdrachten of CEO-fraude): overschrijving voorgesteld als dringend en vertrouwelijk, misbruik van een overheidsinstantie om een wijziging van bankgegevens aan te kondigen, niet overhaast handelen, waakzaamheid tijdens vakanties. economie.gouv.fr
- RFC 7489, DMARC: buiten de reikwijdte van het mechanisme vallen visueel gelijkende domeinnamen en misbruik van de weergavenaam. rfc-editor.org
- Klytic, pagina Klytic MTA: verdeling van financiële fraude over de formules Essential en Advanced, opties, implementatievormen, ingebruikname via het MX-record. klytic.com
