Een gehackte mailbox kan voor een kmo snel uitdraaien op een financiële ramp. Cybercriminelen lezen mee in bestaande e-mailgesprekken, onderscheppen facturen en wijzigen rekeningnummers. Omdat de fraude vaak gebeurt vanuit een vertrouwde communicatie, is ze moeilijk te herkennen. Met enkele eenvoudige controles kun je het risico sterk verkleinen.
Één gestolen wachtwoord kan volstaan
Bij factuurfraude proberen criminelen niet rechtstreeks bij jouw bankrekening te komen. Een gehackte mailbox kan al genoeg zijn om een betaling verkeerd te laten verlopen.
Een typisch scenario verloopt als volgt:
1. Een wachtwoord wordt buitgemaakt
Via phishing wordt een medewerker naar een valse aanmeldpagina gelokt. Op deze manier krijgt de aanvaller toegang tot de mailbox. Hergebruikte wachtwoorden maken het risico groter.
2. De aanvaller kijkt mee
Een gehackte mailbox bevat vaak veel waardevolle informatie, zoals klantencontacten, facturen en eerdere gesprekken. Hierdoor kan de aanvaller precies inschatten wie wanneer een betaling verwacht.
3. Een factuur of e-mail wordt gemanipuleerd
De crimineel onderschept een bestaande factuur of haakt in op een lopende e-mailconversatie. Het rekeningnummer wordt gewijzigd, of er wordt een bericht verstuurd met het verzoek om naar een nieuw rekeningnummer te betalen.
4. De betaling lijkt normaal
Omdat het bericht aansluit bij een bestaande conversatie en de afzender vertrouwd overkomt, merkt de ontvanger de fraude soms pas wanneer de leverancier een betalingsherinnering stuurt.
Sectorfederatie Febelfin waarschuwt dat factuurfraude zowel kan voorkomen bij inkomende als uitgaande facturen. Een aanvaller kan bijvoorbeeld een echte factuur onderscheppen en het rekeningnummer veranderen.
Bescherm je mailbox met MFA
Een sterk wachtwoord is belangrijk maar niet altijd voldoende. Activeer daarom multifactorauthenticatie (MFA) op zakelijke mailboxen en andere belangrijke bedrijfsaccounts. Bij MFA is naast een wachtwoord nog een tweede verificatiestap vereist. Dit maakt het voor aanvallers veel moeilijker om toegang te krijgen, zelfs wanneer het wachtwoord via phishing is bemachtigd. Het Centrum voor Cybersecurity België (CCB) raadt aan om MFA verplicht te stellen voor onder meer e-mail, bedrijfsapplicaties en accounts met beheerdersrechten.
Controleer verder welke accounts toegang hebben tot je mailbox en verwijder oude of ongebruikte accounts. Gebruik voor elke dienst een uniek wachtwoord en overweeg een wachtwoordmanager.
Controleer elke verandering van rekeningnummer
Een onverhoedse verandering van een rekeningnummer is een belangrijk alarmsignaal. Betaal zo’n factuur niet meteen omdat het bericht afkomstig lijkt van een vertrouwde leverancier. Neem bij twijfel zelf contact op met de leverancier via een telefoonnummer of e-mailadres dat al in je administratie staat of dat je via een betrouwbare, onafhankelijke bron hebt verkregen. Gebruik niet de gegevens uit het verdachte bericht of de gewijzigde factuur. Hetzelfde geldt als een leverancier plots vraagt om een betaling naar een ander rekeningnummer te sturen. Een wijziging via e-mail mag nooit de enige controle zijn.
Maak gebruik van je bank’s controle
Bij een overschrijving kan je bank een waarschuwing geven wanneer de naam van de begunstigde niet overeenkomt met het rekeningnummer. De zogenaamde IBAN-naamcontrole is een extra hulpmiddel om factuurfraude te detecteren. Een waarschuwing verdient aandacht en mag je niet zomaar negeren. Maak daarnaast een leveranciersbestand waarin je bekende rekeningnummers bijhoudt, zodat een nieuw nummer sneller opvalt bij een volgende factuur.
Kies indien mogelijk voor veilige e-facturatie
Ook het facturatiekanaal is van invloed. In België is sinds 1 januari 2026 gestructureerde elektronische facturatie verplicht voor bijna alle btw-plichtige B2B-transacties. Peppol maakt het mogelijk gestructureerde facturen via een beveiligd netwerk uit te wisselen. Volgens OpenPeppol vermindert standaardisatie en automatisering de kans op menselijke fouten en het risico op fraude.
Peppol biedt geen garantie tegen fraude. Een wijziging van bankgegevens moet ook bij een elektronische factuur kritisch worden behandeld. Maar door facturatie minder afhankelijk te maken van losse pdf-bijlagen en e-mails, verklein je wel een belangrijk aanvalsvlak.
Maak fraudepreventie een vast onderdeel van je procedures
De beste bescherming bestaat niet uit één technologische maatregel, maar uit een combinatie van technologie en heldere afspraken. Spreek binnen je onderneming bijvoorbeeld af dat:
Heb je toch verkeerd betaald? Reageer onmiddellijk
Vermoed je dat je onderneming slachtoffer is geworden van factuurfraude? Blijf dan niet afwachten. Neem onmiddellijk contact op met je bank en meld dat het om fraude gaat. Hoe sneller de bank wordt ingelicht, hoe groter de kans dat ze nog actie kan ondernemen richting de ontvangende bank of rekening. Bewaar tevens de verdachte e-mails, facturen, rekeningnummers en andere relevante informatie. Meld de fraude daarnaast via het Belgische meldpunt. Zo help je niet alleen bij de behandeling van je eigen zaak, maar ook bij het in kaart brengen van fraudepatronen.
