CEO Fraude

CEO-fraude is een algemene benaming voor een groeiende vorm van Cybercrime waarbij er gebruik wordt gemaakt van een nep-email die zogenaamd door een hoge functionaris (directeur of eigenaar) van het eigen bedrijf is gestuurd. Er wordt dan misbruik gemaakt van de zogenaamde 'druk' die er achter de opdracht zit. De email adressen of de domeinnamen die worden gebruikt lijken dan erg veel op de echte.

Hoe werkt CEO-fraude?

De crimineel die zich uitgeeft als CEO (of iemand anders op het hoogste niveau van het bedrijf) vraagt een financieel medewerker, of andere medewerker die geautoriseerd is betalingen uit te voeren, snel en vertrouwelijk een bedrag over te maken. Deze betaling gaat vaak naar het buitenland. Om vertrouwen te winnen, geeft de crimineel gegevens door van een organisatie zoals bijvoorbeeld van een (niet-bestaand) advocatenkantoor die de opdracht kan bevestigen. Vaak kennen de medewerker van de financiële administratie en de CEO elkaar niet persoonlijk. De medewerker werkt bijvoorbeeld bij een filiaal of dochteronderneming elders in het (buiten)land. Mede door de afstand tussen beiden durft de medewerker niet te controleren of de opdracht wel klopt.

De criminelen hebben eerder uitgevist via phishing welke personen ze precies moeten benaderen in een organisatie en mailadressen van de medewerker van de financiële administratie en CEO achterhaald. Vaak begint het fraudeproces met een valse email zogenaamd uit naam van de CEO of ander persoon in de directie van een bedrijf. Het email adres wijkt miniem af van het echte mailadres van CEO. Daarna wordt de medewerker gebeld en druk op hem of haar uitgevoerd. De medewerker wordt verteld dat spoed en vertrouwelijkheid van zeer groot belang zijn bij de betaling. De betaling wijkt qua procedure af van hetgeen normaal is in het bedrijf. Naam en rekeningnummer van de degene waar het geld naartoe moet worden overgemaakt zijn onbekend binnen het bedrijf. Omdat de betaling door een gelegitimeerd persoon wordt uitgevoerd, is de fraude moeilijk te onderscheppen en wordt de fraude niet vergoed door bank en/of verzekeraar.

Naast de financiële afdeling zijn ook andere afdelingen kwetsbaar. HR (personeelszaken) fungeert soms voor hackers als een snelweg de organisatie in. HR heeft immers toegang tot informatie over alle medewerkers in de organisatie en zijn verantwoordelijk voor de recruitment. Ze openen CV’s van honderden sollicitanten. Cybercriminelen kunnen eenvoudigweg hun malware met de CV meesturen om hun zoektocht naar bedrijfsinformatie te beginnen. Ook sturen slachtoffers van bedrijven naar aanleiding van valse emails van de belastingdienst gevoelige persoonsgegevens op zoals BSN-nummers, email-adressen, etc.

Wat te doen bij CEO Fraude

Neem zo snel mogelijk contact op met je bank om te melden dat je slachtoffer bent van CEO fraude. Het is dan misschien nog te voorkomen dat een (deel) van het geld verdwijnt.
Informeer je IT verantwoordelijke en management over wat er gebeurd is.
Bewaar het bewijsmateriaal en doe aangifte bij politie. Er is namelijk een misdrijf gepleegd en wellicht kunnen politie en justitie met de aangifte actie tegen de criminelen ondernemen. Bovendien kan een aangifte bij eventuele geschillen met degene die het geld wél had moeten ontvangen een belangrijk element in de afhandeling zijn.
Bespreek wat er is gebeurd binnen de organisatie om herhaling te voorkomen.

CEO Fraude voorkomen

Verifiëer altijd of een betaal opdracht echt is. Doe dit via een ander kanaal (bijv. telefonisch) dan waar het verzoek op binnen komt.

Zorg voor veilige betalingsprocedures met ingebouwde verificatie. Wijk nooit zomaar af van deze betalingsprocedures.

Oplichters maken vaak gebruik van tijdsdruk. Als er haast bij is, moeten alarmbellen gaan rinkelen!

Oplichters imiteren de afzender, waardoor het kan lijken als of de mail écht van een leidinggevende komt. Verifiëer dus altijd, ook als het betrouwbaar lijkt.

Gebruik daarbij niet de contactgegevens die meegestuurd zijn. Deze kunnen ook vals zijn.

Herken CEO fraude aan de volgende eigenschappen:

Vaak wordt er sterk nadruk gelegd op de gezagsverhouding. De betaalopdracht wordt als een bevel gegeven.

De zogenaamde CEO benadrukt dat vertrouwelijkheid van groot belang is. De opdracht mag niet gedeeld worden met collega’s.

De medewerker wordt geprezen en belangrijk gemaakt. Hij/zij is uitgekozen om de opdracht uit te voeren vanwege zijn/haar uitzonderlijke kwaliteiten.

Het slagen van een actie wordt op de schouders van een bepaalde medewerker gelegd. De druk wordt zo verhoogd.

De valse mails die deze nep-CEO’s sturen, zijn meestal ook te herkennen aan het gebruik van een vals afzendadres. Heel vaak lijkt deze wel van het domein van het bedrijf te komen, maar is bijvoorbeeld een L vervangen door een hoofdletter i.