Factuurfraude via gehackte mailboxen: zo bescherm je jouw onderneming.
Een gehackte mailbox kan voor een kmo snel uitdraaien op een financiële ramp. Cybercriminelen lezen mee in bestaande e-mailgesprekken, onderscheppen facturen en wijzigen rekeningnummers. Omdat de fraude vaak gebeurt vanuit een vertrouwde communicatie, is ze moeilijk te herkennen. Met enkele eenvoudige controles kun je het risico sterk verkleinen.
Eén gestolen wachtwoord kan volstaan.
Bij factuurfraude proberen criminelen niet noodzakelijk rechtstreeks in je bankrekening te raken. Een mailbox kan al voldoende zijn om een betaling naar een verkeerde rekening te sturen.
Een typisch scenario verloopt als volgt:
1. Een wachtwoord wordt buitgemaakt.
Via phishing lokt een aanvaller een medewerker naar een valse aanmeldpagina. Zo krijgt hij toegang tot de mailbox. Hergebruikte wachtwoorden vergroten het risico.
2. De aanvaller kijkt mee.
Een gehackte mailbox bevat vaak veel nuttige informatie: klantencontacten, facturen, offertes, bestelbonnen en eerdere gesprekken. De aanvaller kan daardoor perfect inschatten wie wanneer een betaling verwacht.
3. Een factuur of e-mail wordt gemanipuleerd.
De crimineel onderschept een bestaande factuur of haakt in op een lopende e-mailconversatie. Het rekeningnummer wordt gewijzigd of er wordt een bericht verstuurd waarin wordt gevraagd om voortaan naar een andere rekening te betalen.
4. De betaling lijkt normaal.
Omdat het bericht aansluit bij een bestaande conversatie en de afzender vertrouwd lijkt, merkt de ontvanger de fraude soms pas op wanneer de leverancier een betalingsherinnering stuurt.
Sectorfederatie Febelfin waarschuwt dat factuurfraude zowel kan gebeuren bij inkomende als bij uitgaande facturen. Een aanvaller kan bijvoorbeeld een echte factuur onderscheppen en het rekeningnummer aanpassen.
Bescherm je mailbox met MFA.
Een sterk wachtwoord blijft belangrijk, maar volstaat niet altijd. Activeer daarom multifactorauthenticatie (MFA) op zakelijke mailboxen en andere belangrijke bedrijfsaccounts. Bij MFA is naast het wachtwoord nog een tweede verificatiestap nodig. Daardoor wordt het voor een aanvaller veel moeilijker om toegang te krijgen, zelfs wanneer het wachtwoord via phishing is buitgemaakt. Het Centrum voor Cybersecurity België (CCB) raadt aan om MFA verplicht te maken voor onder meer e-mail, bedrijfsapplicaties en accounts met beheerdersrechten.
Kijk bovendien na welke accounts toegang hebben tot je mailbox en verwijder oude of ongebruikte accounts. Gebruik voor elke dienst een uniek wachtwoord en overweeg een wachtwoordmanager.
Controleer elke wijziging van rekeningnummer.
Een onverwachte wijziging van een rekeningnummer is een belangrijk alarmsignaal. Betaal zo’n factuur niet zomaar omdat het bericht afkomstig lijkt van een vertrouwde leverancier. Neem bij twijfel zelf contact op met de leverancier. Gebruik daarvoor een telefoonnummer of e-mailadres dat al in je administratie staat of dat je via een betrouwbare, onafhankelijke bron hebt gevonden. Gebruik dus niet de contactgegevens uit het verdachte bericht of de gewijzigde factuur. Hetzelfde geldt wanneer een leverancier plots vraagt om een betaling naar een andere rekening te sturen. Een rekeningnummer wijzigen via e-mail mag nooit voldoende zijn als enige controle.
Gebruik ook de controle van je bank.
Bij een overschrijving kan je bank een waarschuwing geven wanneer de naam van de begunstigde niet overeenstemt met het rekeningnummer. De zogenaamde IBAN-naamcontrole is een extra hulpmiddel om factuurfraude te detecteren. Een waarschuwing verdient dus altijd aandacht en mag je niet zomaar wegklikken.
Maak daarnaast een leveranciersbestand waarin je de bekende rekeningnummers bijhoudt. Een nieuw rekeningnummer valt dan sneller op wanneer een volgende factuur binnenkomt.
Kies waar mogelijk voor veilige e-facturatie.
Ook het facturatiekanaal speelt een rol. In België is gestructureerde elektronische facturatie sinds 1 januari 2026 verplicht voor vrijwel alle btw-plichtige B2B-transacties. Peppol maakt het mogelijk om gestructureerde facturen via een beveiligd netwerk uit te wisselen. Volgens OpenPeppol vermindert standaardisering en automatisering de kans op menselijke fouten en het risico op fraude.
Peppol is geen garantie dat fraude onmogelijk wordt. Een wijziging van bankgegevens moet ook bij een elektronische factuur kritisch worden behandeld. Maar door facturatie minder afhankelijk te maken van losse pdf-bijlagen en e-mails, verklein je wel een belangrijk aanvalsvlak.
Maak van fraudepreventie een vaste procedure.
De beste bescherming is niet één technische maatregel, maar een combinatie van technologie en duidelijke afspraken. Spreek binnen je onderneming bijvoorbeeld af dat:
- elke wijziging van een rekeningnummer telefonisch wordt geverifieerd
- grote of afwijkende betalingen door een tweede persoon worden gecontroleerd
- medewerkers nooit onder tijdsdruk betaalgegevens aanpassen
- waarschuwingen van de bank over de begunstigde altijd worden nagekeken
- MFA verplicht is voor zakelijke mailboxen en belangrijke accounts
- verdachte e-mails niet worden geopend, doorgestuurd of beantwoord zonder controle
Toch verkeerd betaald? Reageer onmiddellijk.
Vermoed je dat je onderneming slachtoffer is geworden van factuurfraude? Wacht dan niet af. Contacteer onmiddellijk je bank en meld dat het om fraude gaat. Hoe sneller de bank wordt ingelicht, hoe groter de kans dat ze nog actie kan ondernemen richting de ontvangende bank of rekening. Bewaar ook de verdachte e-mails, facturen, rekeningnummers en andere relevante informatie. Meld de fraude daarnaast via het Belgische meldpunt. Zo help je niet alleen bij de behandeling van je eigen dossier, maar ook bij het in kaart brengen van fraudepatronen.
