Business Email Compromise (BEC): de miljoenenfraude die begint met één overtuigende e-mail

Business Email Compromise, vaak afgekort tot BEC, is een vorm van fraude waarbij criminelen zich voordoen als een vertrouwde afzender binnen of buiten een organisatie.

Het doel is meestal om:

• Geld over te laten maken

• Betaalgegevens aan te passen

• Inloggegevens te verkrijgen

• Vertrouwelijke bedrijfsinformatie buit te maken

In tegenstelling tot traditionele phishing bevat een BEC-aanval vaak geen schadelijke link of malware. Het draait volledig om manipulatie en vertrouwen.

Daardoor zijn deze aanvallen moeilijker te herkennen én lastiger te blokkeren met technische beveiligingsmaatregelen.

Veel organisaties investeren in spamfilters, antivirussoftware en multifactor-authenticatie. Toch blijven medewerkers een aantrekkelijk doelwit.

Criminelen doen vooraf uitgebreid onderzoek naar een organisatie. Ze bekijken websites, LinkedIn-profielen, persberichten en socialmediakanalen. Zo leren ze wie verantwoordelijk is voor financiën, inkoop of administratie.

Vervolgens sturen ze een overtuigend bericht dat lijkt te komen van een directeur, CFO, leverancier of zakenpartner.

En juist omdat het verzoek logisch lijkt, wordt er vaak niet getwijfeld.

Waar vroeger vooral nepafzenders werden gebruikt, zien we tegenwoordig veel geavanceerdere methoden.

Cybercriminelen kunnen:

• Gehackte mailboxen gebruiken

  Hierdoor verzenden zij berichten vanuit een echt e-mailadres.

• Lopende e-mailgesprekken kapen

  Ze reageren binnen bestaande conversaties waardoor het bericht legitiem lijkt.

• Facturen aanpassen

  Bankrekeningnummers worden vervangen voordat een betaling wordt uitgevoerd.

• AI inzetten

  Met behulp van AI kunnen fraudeurs foutloze berichten schrijven die volledig aansluiten op de schrijfstijl van een directeur, leverancier of collega

Hoewel Business Email Compromise steeds professioneler wordt, zijn er vaak signalen die waarschuwen voor fraude.

• Onverwachte betaalverzoeken

  Wordt er gevraagd een nieuwe leverancier te betalen of een afwijkende procedure te volgen?

  Controleer dit altijd.

• Wijzigingen in bankgegevens

  Vraag altijd om een extra verificatie wanneer een leverancier een nieuw rekeningnummer doorgeeft.

• Extreme urgentie

  Criminelen willen voorkomen dat je navraag doet.

  "Dit moet vandaag nog geregeld worden" is daarom een veelgebruikt signaal.

• Vertrouwelijkheid

  Word je gevraagd niemand anders te informeren?

  Dan is extra controle noodzakelijk.

• Kleine afwijkingen

  Controleer afzenderadressen zorgvuldig. Eén letter verschil kan voldoende zijn om een nepadres op echt te laten lijken.

Bij Business Email Compromise draait het niet om verdachte links of malware, maar om vertrouwen. Een overtuigend bericht van een directeur, leverancier of klant kan al genoeg zijn om financiële schade of dataverlies te veroorzaken.

Met de Cybersecurity Zelfscan krijg je inzicht in de risico's binnen jouw organisatie en ontdek je hoe weerbaar je bent tegen phishing, CEO-fraude en andere vormen van digitale fraude.

✅ Inzicht in kwetsbaarheden
✅ Concrete verbeterpunten
✅ Praktische roadmap voor meer cyberweerbaarheid

1. Maak verificatie verplicht

   Voer nooit betalingen of wijzigingen door op basis van één e-mail. Bel altijd de afzender terug via een bekend telefoonnummer.

2. Gebruik multifactor-authenticatie (MFA)

   MFA maakt het moeilijker voor aanvallers om toegang te krijgen tot mailboxen en accounts. Weet ook dat het gebruik van alleen MFA niet genoeg is.

3. Implementeer anti-phishingmaatregelen

   Met de beveiligingsoplossingen van Hallo bescherm je medewerkers tegen phishing en verklein je de kans dat criminelen e-mails versturen uit naam van jouw organisatie.

4. Train medewerkers

   De beste technische beveiliging is niet genoeg wanneer een medewerker onbewust een frauduleus verzoek goedkeurt. Regelmatige awareness-trainingen maken medewerkers alerter op signalen van fraude.

5. Beperk financiële bevoegdheden

   Zorg dat grote betalingen altijd door meerdere personen moeten worden goedgekeurd. Een vier-ogen-principe voorkomt veel schade.

Veel ondernemers denken dat cybercriminelen vooral grote multinationals aanvallen.

In werkelijkheid zijn mkb-organisaties vaak aantrekkelijke doelwitten. Juist omdat processen minder formeel zijn en medewerkers elkaar vertrouwen.

En dat vertrouwen is precies waar Business Email Compromise misbruik van maakt.

De vraag is daarom niet alleen hoe goed je e-mail beveiligd is.

De echte vraag is:

Hoe controleer je of een verzoek écht afkomstig is van degene die het verstuurt?