- BEC bevat geen malware of kwaadaardige links, dus standaard e-mailbeveiligingstools kunnen deze niet onderscheppen
- De vier belangrijkste soorten aanvallen zijn CEO-fraude, factuurfraude, accountcompromis en nabootsing van de identiteit van een advocaat
- Financiële teams, accountants en uitvoerend assistenten zijn de primaire doelwitten
- DMARC op p=reject stopt spoofing van exacte domeinen, maar houdt geen lookalike-domeinen tegen
- Terugbellen naar een bekend nummer is de meest betrouwbare procescontrole
- Als er een overboeking plaatsvindt, neem dan binnen enkele minuten contact op met uw bank, niet binnen enkele uren
Wat BEC is en waarom het verschilt van phishing
Zakelijke e-mailcompromis is gerichte financiële fraude die via e-mail wordt verzonden. Een aanvaller doet zich voor als een vertrouwd persoon, zoals uw CEO, een oude leverancier of het advocatenkantoor van uw bedrijf, en overtuigt iemand binnen uw organisatie om geld over te maken of een betaling om te leiden. De e-mail ziet er legitiem uit, het taalgebruik past bij de relatie en het verzoek arriveert op een plausibel moment, vaak op vrijdagmiddag of halverwege de betalingscyclus.
Phishing en BEC delen e-mail als bezorgkanaal, maar de werking is anders. Phishing wordt breed verspreid, verzendt miljoenen berichten en is afhankelijk van schaalgrootte. Het bevat een lading: een kwaadaardige link, een geïnfecteerde bijlage of een pagina voor het verzamelen van inloggegevens. Antivirusprogramma's, e-mailgateways en sandboxing vangen een aanzienlijk deel van de phishing op, omdat er iets te detecteren valt. BEC is het tegenovergestelde. De aanvaller verzendt een klein aantal zorgvuldig onderzochte berichten zonder enige technische lading. Er is geen kwaadaardige URL. Er is geen bijlage. De e-mail is schone tekst en passeert elk inhoudsfilter.
Het Internet Crime Complaint Center (IC3) van de FBI registreerde in één rapportagejaar $2,9 miljard aan BEC-verliezen. UK Finance meldde dat geautoriseerde push-betalingsfraude, de categorie die de meeste BEC-uitkomsten omvat, Britse bedrijven in dezelfde periode £239 miljoen heeft gekost. Deze cijfers weerspiegelen de gemelde gevallen. Het werkelijke totaal ligt hoger omdat veel organisaties niet rapporteren of zich niet realiseren wat er is gebeurd.
De vier belangrijkste aanvalstypen
BEC-incidenten volgen herkenbare patronen. Het begrijpen van het formaat van elk ervan vormt zowel uw technische controles als de proceswijzigingen die uw financiële team moet doorvoeren.
CEO-fraude
De aanvaller vervalst of compromitteert het e-mailadres van de CEO en stuurt een bericht rechtstreeks naar een financieel teamlid of de crediteurenadministratie. In het bericht wordt om een dringende overboeking gevraagd, vaak rond een tijdgevoelige acquisitie, een vertrouwelijke deal of een wettelijke vereiste. De urgentie ontmoedigt de ontvanger ervan de normale goedkeuringsprocedures te volgen. De CEO is 'op reis' of 'niet beschikbaar om oproepen te beantwoorden'. Vaak wordt in het verzoek de ontvanger opgedragen de overdracht niet met collega’s te bespreken.
CEO-fraude werkt omdat autoriteit en urgentie samen het verificatiegedrag onderdrukken. Een werknemer die een direct verzoek ontvangt van de hoogste persoon van het bedrijf, dat als vertrouwelijk en tijdgevoelig wordt aangemerkt, wordt geconfronteerd met sociale druk waardoor pauzeren belemmerend voelt. Aanvallers onderzoeken het reisschema, de schrijfstijl en het typische taalgebruik van de CEO uit LinkedIn-berichten, persberichten en afwezigheidsreacties voordat ze ook maar één bericht verzenden.
Factuurfraude
De aanvaller imiteert een leverancier die uw organisatie regelmatig betaalt. Het bericht brengt uw accountteam op de hoogte van een wijziging in de bankgegevens en vraagt u alle toekomstige betalingen naar de nieuwe rekening te sturen. De nabootsing is gericht op leveranciers aan wie u grote bedragen betaalt, geïdentificeerd door uw openbaar beschikbare bedrijfsinformatie, aanbestedingsaankondigingen of aankondigingen van bouwcontracten te bekijken.
Factuurfraude is op grote schaal de financieel schadelijkste BEC-variant, omdat betalingen onder routinematige omstandigheden plaatsvinden en worden verwerkt door personeel dat hun normale werk doet. Er is geen urgentietrigger en geen ongebruikelijk verzoek. De enige anomalie zijn de gewijzigde bankgegevens, en die anomalie komt met een plausibele verklaring: een migratie van het boekhoudsysteem, een nieuwe bankpartner of een bedrijfsherstructurering.
Accountcompromis
Bij aanvallen op accounts krijgt de aanvaller echte toegang tot een legitiem e-mailaccount, meestal via een phishing-campagne met inloggegevens of een datalek waarbij een wachtwoord openbaar is gemaakt. Vanuit een echt account houdt de aanvaller wekenlang de e-mail in de gaten voordat hij actie onderneemt, waarbij hij betalingsrelaties, goedkeuringsworkflows en de taalpatronen van de accounteigenaar identificeert. Wanneer een echte factuur of betalingsverzoek binnenkomt, onderschept de aanvaller deze en leidt deze om.
Deze variant is het moeilijkst te detecteren omdat de e-mail afkomstig is van het echte account met de echte weergavenaam en een authentieke e-mailthread. Standaard afzenderverificatie mislukt. De enige verdediging op het moment van een aanval is het out-of-band callback-proces, gecombineerd met upstream-controles die voorkomen dat accounts überhaupt worden gecompromitteerd.
Nabootsing van een advocaat
De aanvaller doet zich voor als een advocaat, notaris of juridisch adviseur die namens u een vertrouwelijke transactie afhandelt. Deze variant richt zich rechtstreeks op bedrijfseigenaren en leidinggevenden, vaak rond echte hoogwaardige gebeurtenissen zoals de aankoop van onroerend goed, een fusie of een juridische schikking. De "advocaat" geeft betalingsinstructies voor een aanbetaling of schikkingsbedrag en benadrukt de vertrouwelijkheid om het doelwit ervan te weerhouden de overdracht met anderen te bespreken.
Bij het nabootsen van de identiteit van een advocaat wordt misbruik gemaakt van de eerbied die veel mensen betuigen aan juridische professionals en van de echte vertrouwelijkheidsverplichtingen die aan juridische transacties zijn verbonden. Doelwitten ontvangen deze berichten vaak wanneer ze al midden in een stressvolle transactie zitten en betalingsinstructies verwachten.
Elke BEC-poging heeft een handvol structurele kenmerken gemeen: een verzoek om financiële actie, tijdsdruk, een reden om het normale proces te omzeilen en een instructie om de communicatie privé te houden. Elke e-mail die twee of meer van deze elementen combineert, verdient verificatie voordat actie wordt ondernomen, ongeacht hoe legitiem de afzender lijkt.
Waarom financiële dienstverlening en accountancy het voornaamste doelwit zijn
BEC-aanvallen volgen het geld. Financiële dienstverleners, accountantspraktijken en vermogensbeheerders trekken om drie redenen onevenredige aandacht.
Ten eerste verwerken ze routinematig grote overboekingen. Een betaling van € 250.000, die meerdere goedkeuringsstappen bij een productiebedrijf zou veroorzaken, is een normale dagelijkse transactie voor een accountantskantoor dat de gelden van klanten beheert. De drempel waarboven financiële medewerkers pauzeren en verifiëren, is hoger, en aanvallers weten dat.
Ten tweede houden ze geld aan namens derden. Een advocatenkantoor dat geld op rekeningen van cliënten aanhoudt of een vermogensbeheerder die beleggingsinstructies uitvoert, verplaatst geld op verzoek van de cliënt zonder dezelfde organisatorische controles die van toepassing zijn op interne betalingen. Een aanvaller die een overdrachtsadvocaat ervan overtuigt dat een cliënt zijn voltooiingsrekening heeft gewijzigd, kan een volledige aankoop van onroerend goed onderscheppen.
Ten derde zijn ze rijk aan publieke informatie. Regulatoire documenten, Companies House-documenten, LinkedIn-profielen en klantaankondigingen maken het eenvoudig om te identificeren wie de betalingen afhandelt, wie de senior partners zijn en welke klantrelaties actief zijn. Dit reduceert de verkenningstijd die nodig is voor een aanval tot uren in plaats van dagen.
Gereguleerde bedrijven hebben ook te maken met een compliance-dimensie. Een succesvolle BEC-aanval die resulteert in verlies van fondsen van klanten leidt tot wettelijke rapportageverplichtingen onder de FCA-regels en DNB-vereisten in Nederland. De blootstelling aan reputatie en regelgeving vergroot het directe financiële verlies.
BEC breekt niet in uw systeem in. Hij komt via de voordeur binnen door iemand ervan te overtuigen de deur open te houden.
Hoe aanvallers geloofwaardigheid opbouwen
Een BEC-e-mail die leest als een generieke fraudepoging mislukt. Aanvallers investeren realtime in het opbouwen van de context waardoor verzoeken routinematig aanvoelen.
Domeinspoofing en lookalike-domeinen
De eenvoudigste techniek is spoofing van de weergavenaam: de aanvaller stelt de weergavenaam in op "Sarah Mitchell, CFO", terwijl het daadwerkelijke verzendadres een weggegooid Gmail-account is. Bij de meeste e-mailclients wordt de weergavenaam prominent weergegeven; het daadwerkelijke adres vereist een opzettelijke klik om te inspecteren. Zonder DMARC-handhaving op uw domein is spoofing van het exacte domein ook mogelijk. De aanvaller verzendt vanuit [email protected] en de e-mail arriveert alsof deze afkomstig is van uw eigen domein.
Lookalike-domeinen vergen meer investeringen, maar omzeilen DMARC volledig. De aanvaller registreert yourcompany-accounts.nl, yourcompany-invoices.nl of yourcornpany.nl (met een vervangend teken). Deze domeinen doorstaan de e-mailauthenticatiecontroles omdat ze legitieme DNS-records hebben. De ontvangende mailserver heeft geen reden om deze op technische gronden te weigeren.
Manipulatie van e-mailheaders
Antwoordmanipulatie is een techniek waarmee aanvallers een overtuigend afzenderadres kunnen gebruiken terwijl ze antwoorden doorsturen naar een adres dat zij beheren. De e-mail lijkt afkomstig te zijn van [email protected], maar als de ontvanger op Beantwoorden klikt, gaat het bericht naar [email protected]. Ontvangers inspecteren zelden de antwoordkop voordat ze reageren. Tijdens verschillende uitwisselingen gaat het gesprek volledig naar het door de aanvaller gecontroleerde adres.
OSINT- en LinkedIn-onderzoek
Het verzamelen van open source-informatie kost aanvallers 30 tot 60 minuten per doelwit. LinkedIn toont de namen en rollen van financieel personeel, wie aan wie rapporteert, en recente promoties. Uit vacatures blijkt welke software uw crediteurenteam gebruikt. In persberichten worden uw belangrijkste leveranciers genoemd. De recente conferentietoespraak van een CEO geeft de aanvaller zijn woordenschat en communicatiestijl. Out-of-office-antwoorden bevestigen reisdata en vermelden de naam van de collega die tijdens hun afwezigheid de zaken afhandelt en die dan het volgende doelwit wordt.
Technische controles die de blootstelling verminderen
Technische controles stoppen BEC niet op zichzelf, maar verschillende elimineren volledige aanvalsvectoren en verminderen de opties van de aanvaller aanzienlijk.
DMARC, DKIM en SPF
SPF (Sender Policy Framework) vermeldt de e-mailservers die geautoriseerd zijn om e-mail te verzenden namens uw domein. DKIM (DomainKeys Identified Mail) voegt een cryptografische handtekening toe aan uitgaande berichten die ontvangende servers kunnen verifiëren. DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindt deze met elkaar en vertelt ontvangende mailservers wat ze moeten doen als een bericht mislukt: niets (p=none), het in quarantaine plaatsen (p=quarantaine), of het ronduit afwijzen (p=reject).
Publiceer SPF- en DKIM-records voor elk domein dat uw organisatie gebruikt, inclusief domeinen die geen e-mail verzenden. Een ongebruikt domein zonder SPF-record is een gratis bron voor spoofing voor aanvallers. Stel DMARC in op p=reject voor alle domeinen. Bij p=none of p=quarantaine biedt DMARC rapportage maar geen bescherming. P=reject is de enige instelling die voorkomt dat spoofing van het exacte domein de inbox bereikt.
Controleer uw huidige DMARC-status met een tool zoals dmarcian's DMARC-inspecteur. Veel organisaties die geloven dat DMARC bestaat, ontdekken dat deze is ingesteld op p=none, alleen voor rapportage, zonder handhaving.
MFA op alle e-mailaccounts
Multi-factor authenticatie op Microsoft 365, Google Workspace of een ander e-mailplatform sluit de vector voor accountcompromis. Een aanvaller die via een phishing-campagne of een credential dump een wachtwoord verkrijgt, heeft zonder de tweede factor geen toegang tot het account. Dwing MFA af voor elke gebruiker met toegang tot zakelijke e-mail, inclusief gedeelde mailboxen en serviceaccounts. Beleid voor voorwaardelijke toegang in Microsoft Entra ID kan MFA afdwingen op basis van het aanmeldingsrisiconiveau, waardoor de toegang vanaf onbekende locaties of apparaten wordt geblokkeerd zonder dat de volledige MFA-uitdaging nodig is voor elke aanmelding vanaf een bekend apparaat.
E-mailbannerwaarschuwingen voor externe afzenders
Configureer uw e-mailplatform zo dat alle berichten die van buiten uw organisatie binnenkomen van een zichtbare banner worden voorzien. Een banner met de tekst 'Deze e-mail is van buiten uw organisatie afkomstig' geeft de ontvanger een visueel signaal om het afzenderadres te controleren voordat hij of zij actie onderneemt. Deze enkele configuratiewijziging, die zonder extra kosten beschikbaar is in Microsoft 365 en Google Workspace, neemt de dubbelzinnigheid weg die spoofing van weergavenamen effectief maakt. De ontvanger ziet de externe herkomstaanduiding en weet te controleren of het adres overeenkomt met de naam.
Controle op lookalike domeinregistraties
Services zoals DomainTools, Brandwatch of DMARC-rapportageplatforms brengen nieuw geregistreerde domeinen naar voren die sterk op die van u lijken. Een dagelijkse waarschuwing voor domeinen die uw bedrijfsnaam bevatten, geeft u zichtbaarheid voordat een aanvalscampagne wordt gelanceerd. Sommige organisaties gebruiken deze informatie om preventief veelvoorkomende typosquatvarianten van hun eigen domein te registreren, waardoor de bron volledig buiten gebruik wordt gesteld door aanvallers.
Procescontroles
Technische controles verkleinen het aanvalsoppervlak. Procescontroles vangen de aanvallen op die toch doorkomen. Voor BEC is de proceslaag belangrijker dan vrijwel elke andere bedreigingscategorie.
Verificatie-callbacks voor betalingswijzigingen
Elk verzoek om betaalgegevens van een leverancier, klant of medewerker te wijzigen, moet een verplichte terugbelactie activeren voordat de wijziging van kracht wordt. Het terugbellen gaat naar een telefoonnummer dat al in ons bestand staat, opgehaald uit uw bestaande gegevens, niet uit de e-mail waarin om de wijziging is verzocht of uit de bijgewerkte contactgegevens die de aanvrager heeft verstrekt. Deze enkele procedure stopt factuurfraude en de meeste aanvallen op accounts. Er is geen technologie voor nodig. Het vereist schriftelijk beleid, training en een cultuur waarin medewerkers zich in staat voelen de oproep te doen zonder als belemmerend te worden ervaren.
Dubbele autorisatie voor overdrachten van hoge waarde
Stel een drempel in waarboven voor elke betaling goedkeuring van twee afzonderlijke geautoriseerde personen vereist, waarbij beide goedkeuringen worden geregistreerd. De drempel moet uw typische betalingsprofiel weerspiegelen: voor de meeste kmo's is voor alles boven de € 5.000 een tweede paar ogen nodig. De twee goedkeurders moeten een onafhankelijke bevestiging van het betalingsverzoek ontvangen, idealiter via een kanaal dat gescheiden is van de e-mailthread waaruit het verzoek voortkomt. CEO-fraude werkt juist omdat het doorgaans de tweede goedkeurder omzeilt door het verzoek als vertrouwelijk te beschouwen. Een schriftelijk beleid waarin staat dat geen enkele uitvoerende richtlijn de dubbele machtiging terzijde schuift, verwijdert dat aanvalsoppervlak.
Bevestigingsvensters voor betalingsinstructies
Bouw een 24-uurs bevestigingsvenster in uw crediteurenproces in voor eerste betalingen aan nieuwe begunstigden en voor elke betaling boven een bepaalde drempel. Een automatische wachtstand, in plaats van onmiddellijke verwerking, geeft tijd om de terugbelprocedure te voltooien voordat het geld wordt verplaatst. Veel zakelijke bankplatforms ondersteunen betalingsregels die nieuwe begunstigden of transacties met een hoge waarde markeren voor handmatige beoordeling. Configureer deze regels en test ze periodiek.
Financiële teams en uitvoerend assistenten hebben training op basis van scenario's nodig, geen jaarlijkse compliance-dia's. Leid ze door echte BEC-e-mailvoorbeelden, laat ze zien hoe ze de headers van afzenders in Outlook en Gmail kunnen inspecteren, voer een gesimuleerde BEC-oefening uit die zich richt op een plausibel betalingsverzoek en meet hoeveel mensen de overboeking zouden hebben verwerkt. Het resultaat van die oefening bepaalt uw basislijn en identificeert personen die aanvullende coaching nodig hebben.
Wat te doen als je geraakt wordt
Snelheid bepaalt de uitkomst. De periode waarin een frauduleuze overboeking kan worden teruggevorderd, sluit snel, doorgaans binnen één tot vier uur nadat het geld uw rekening heeft verlaten. Op het moment dat iemand in uw organisatie zich realiseert dat een betaling naar een frauduleuze rekening is gegaan, moeten er drie dingen parallel gebeuren.
Bel onmiddellijk uw bank. Stuur geen e-mail en dien geen portaalverzoek in. Bel rechtstreeks de fraudelijn van de bank met het nummer uit uw rekeningdocumentatie of de achterkant van uw zakelijke bankpas. Vraag hen om een 'Confirmation of Payee'-vlag op te steken en, als uw bank deelneemt aan de Britse Financial Fraud Kill Switch-regeling, om activering aan te vragen. Neem in Nederland contact op met het fraudeteam van uw bank en vraag een dringende intrekking van de uitgaande overboeking aan volgens de SEPA-herroepingsprocedures. Nederlandse banken zijn op grond van de PSD2-bepalingen verplicht om binnen bepaalde tijdslijnen op terugroepverzoeken te reageren.
Bewaar al het bewijsmateriaal. Verwijder, verplaats of wijzig geen e-mails, verzonden items of gesprekslijnen die verband houden met de frauduleuze betaling. Stuur de frauduleuze e-mails door naar een speciale bewijsmap en noteer het tijdstip, het afzenderadres en de inhoud van elk bericht in de keten. Uw verzekeraar en wetshandhavingsinstanties hebben dit nodig. Plaats alle e-mailaccounts die mogelijk zijn gecompromitteerd in quarantaine.
Rapporteer aan wetshandhavers en toezichthouders. Doe in Nederland aangifte bij de politie (politie.nl) en stel de Nederlandse Financiële Inlichtingen eenheid (FIU-Nederland) op de hoogte als er geld van cliënten in het spel is. In Groot-Brittannië kunt u zich melden bij Action Fraud op 0300 123 2040 en online een melding indienen op actionfraud.police.uk. Bent u een gereguleerde onderneming onder toezicht van FCA of AFM? Beoordeel dan uw meldingsverplichtingen. Een materieel verlies dat gevolgen heeft voor het geld van klanten leidt doorgaans tot een vereiste om uw toezichthouder binnen bepaalde termijnen op de hoogte te stellen.
Betrek tegelijkertijd uw cyberverzekeraar bij deze stappen. De meeste cyberverzekeringspolissen dekken BEC-gerelateerde financiële verliezen en bieden toegang tot incidentresponshouders en juridisch advies. Controleer uw beleid vóór een incident, zodat u weet wat uw meldingsvenster is en welke responspartner u moet bellen.
Laat na de onmiddellijke reactie een onderzoek uitvoeren naar het succes van de aanval. Was het een gecompromitteerd account, een lookalike-domein of een procesfout? Het antwoord bepaalt wat u oplost. Een beoordeling na het incident binnen 72 uur, terwijl de details nog vers zijn, zou een schriftelijk bevindingenrapport moeten opleveren en een herstelactieplan met genoemde eigenaren en deadlines.