CEO-fraude is een vorm van social engineering waarbij een aanvaller zich voordoet als een directeur, manager of andere leidinggevende. Het doel is meestal om iemand binnen de organisatie snel iets te laten doen: een betaling uitvoeren, gegevens delen, een cadeaubon kopen of een proces omzeilen.
De aanval werkt niet doordat de techniek ingewikkeld is, maar doordat gezag invloed heeft. Een verzoek van een leidinggevende krijgt vaak voorrang. Zeker als het bericht dringend klinkt of vertrouwelijk moet blijven, voelen medewerkers druk om snel te handelen.
CEO-fraude kan via e-mail, sms, WhatsApp, Teams of zelfs telefoon gebeuren. Soms wordt alleen een naam gebruikt. Soms lijkt het adres sterk op het echte adres. Soms is er vooraf informatie verzameld over functies, projecten of afwezigheid van collega's.
Waarom gezag zo krachtig is
In organisaties zijn medewerkers gewend om verzoeken van leidinggevenden serieus te nemen. Dat is normaal. Als een directeur vraagt om iets snel te regelen, wil je helpen. Aanvallers maken gebruik van die reflex.
Vaak wordt het verzoek zo geformuleerd dat controle ongemakkelijk voelt. Bijvoorbeeld: ik zit in een vergadering, kun je dit direct oppakken? Of: dit is vertrouwelijk, bespreek het nog niet met anderen. De medewerker krijgt het gevoel dat vertragen of navragen lastig is.
Juist dat is het risico. Een veilig proces moet ook gelden als iemand met gezag iets vraagt. Controle is geen wantrouwen, maar een normale bescherming tegen misbruik.
Veelvoorkomende signalen
CEO-fraude bevat vaak urgentie. Er is haast, een deadline of een probleem dat direct opgelost moet worden. Ook geheimhouding komt veel voor. De aanvaller wil voorkomen dat iemand het verzoek controleert bij een collega.
Een ander signaal is een afwijkende route. Een betaling moet ineens buiten het normale systeem om. Een leverancier heeft zogenaamd nieuwe bankgegevens. Een manager vraagt via WhatsApp om iets dat normaal via e-mail of een financieel systeem loopt.
Let ook op toon en timing. Schrijft iemand anders dan normaal? Komt het verzoek op een vreemd moment? Past het bij de rol van de persoon die het lijkt te sturen? Kleine afwijkingen kunnen belangrijk zijn.
Financiële teams zijn niet de enige doelgroep
CEO-fraude wordt vaak gekoppeld aan betalingen, maar ook andere teams kunnen doelwit zijn. HR kan worden gevraagd om personeelsgegevens te delen. IT kan een verzoek krijgen om toegang te resetten. Een office manager kan worden gevraagd om cadeaubonnen te kopen. Een medewerker kan worden gevraagd om een document of klantlijst te sturen.
Daarom is CEO-fraude niet alleen een onderwerp voor finance. Iedereen die toegang heeft tot informatie, systemen of processen kan ermee te maken krijgen.
Maak controle normaal
De belangrijkste verdediging is een duidelijke controleafspraak. Gevoelige acties moeten altijd via vaste routes lopen, ook als het verzoek van boven komt. Betalingen, bankwijzigingen, toegangswijzigingen en datadeling verdienen een tweede controle.
Gebruik een ander kanaal om te verifiëren. Bel de leidinggevende via een bekend nummer of vraag intern na of het verzoek klopt. Reageer niet alleen binnen hetzelfde verdachte kanaal, want dan praat je mogelijk met de aanvaller.
Leidinggevenden moeten het voorbeeld geven
CEO-fraude voorkom je niet alleen door medewerkers alerter te maken. Leidinggevenden moeten ook duidelijk maken dat navragen gewenst is. Als een medewerker een dringend verzoek controleert, moet dat worden gewaardeerd.
Een organisatie wordt sterker wanneer iedereen weet dat processen belangrijker zijn dan druk. Gezag mag nooit de reden zijn om beveiliging over te slaan. Juist bij verzoeken van leidinggevenden is een korte controle soms de beste bescherming.
Een tweede controle beschermt iedereen
Een vaste tweede controle is geen teken dat medewerkers hun leidinggevende niet vertrouwen. Het beschermt juist de medewerker, de leidinggevende en de organisatie. Als iedereen weet dat gevoelige verzoeken altijd worden gecontroleerd, wordt het voor aanvallers veel moeilijker om druk, status of haast te misbruiken.
Leg zulke afspraken vast voordat er druk ontstaat. Dan hoeft een medewerker tijdens een spannend verzoek niet zelf te bepalen wat verstandig is. Het proces geeft houvast en maakt het makkelijker om beleefd maar duidelijk te zeggen: ik controleer dit eerst via de normale route.