We hebben ze allemaal wel eens ontvangen: een e-mail, een WhatsApp, een sms of een telefoontje van een onbeduidende of bekende afzender die gegevens van u wil, zoals de inloggegevens van uw bank. En we denken ook allemaal: daar trap ik niet in. En toch gebeurt het steeds vaker. Ieder jaar zijn veel bedrijven en particulieren de dupe van online frauduleuze praktijken. Volgens de Nederlandse Vereniging van Banken (NVB) steeg de schade als gevolg van phishing in 2025 van 1,8 miljoen Euro naar bijna 2,6 miljoen Euro.
Als zakelijke ondernemer is het daarom essentieel om op de hoogte te zijn van deze bedreigingen. In dit artikel leggen we uit hoe misleidende e-mails (phishing), sms-berichten (Smishing), en telefoonfraude (Vishing) werken. En belangrijker nog: geven we tips om uw bedrijf te beschermen tegen deze verraderlijke aanvallen. Zo vergroot u niet alleen uw kennis van cyberveiligheid en fraude maar het helpt u ook om uw onderneming nog beter te beschermen tegen deze toenemende vormen van digitale oplichting.
Drie vormen van Phishing-fraude
Er zijn verschillende vormen van fraude door middel van Phishing, wij geven hier de drie meest voorkomende.
1. Via e-mail: Phishing
Een bekende term voor het – letterlijk – hengelen naar persoonsgegevens is phishing. Hierbij sturen criminelen u een e-mail waarin zij proberen om gevoelige informatie te achterhalen. Denk daarbij aan inloggegevens, relatie- en bankgegevens. Deze criminelen zorgen ervoor dat hun e-mail er zo betrouwbaar mogelijk uitziet. Daarom kiezen ze er vaak voor om de e-mail te versturen uit naam van een bekende organisatie, bekende relatie of zelfs vanuit directieleden.
Een voorbeeld: CEO-fraude
CEO-fraude laat goed zien waarom een combinatie van oplettende mensen en goede processen zo van belang is. CEO-fraude is een geraffineerde truc: de oplichter doet zich voor als een hooggeplaatste leidinggevende en vraagt via e-mail aan een medewerker om bedragen over te boeken naar een bepaald rekeningnummer. De e-mail is qua uiterlijk nagenoeg identiek aan wat gebruikelijk is binnen de organisatie en de stijl van schrijven past bij de vermeende afzender. De medewerker wordt er door zijn (nep)leidinggevende op gewezen dat strikte geheimhouding van groot belang is bij de betalingen; het gaat hier om een project ‘waar nog niemand van mag weten’. Een trouwe medewerker met wat autoriteitsgevoel kan al gauw ingaan op dit verzoek.
Bij CEO-fraude gaan de oplichters vaak grondig te werk en ze bereiden zich goed voor. Allereerst weten de fraudeurs toegang te krijgen tot de IT-systemen van uw organisatie. Op die manier kunnen ze zich informeren over de gang van zaken, zich goed voorbereiden en mailadressen nabootsen. Maar de kwetsbaarheid zit vooral in processen: één persoon die zelfstandig betalingen kan doen, onduidelijkheid over wie de orders voor betalingen geeft en/of wie deze mag accorderen. Als dit niet voldoende helder en afgedekt is, dan heeft u als organisatie een zwakke plek waar oplichters dankbaar gebruik van weten te maken. En dat kan iedere organisatie, groot of klein, overkomen.
2. Via SMS of Whatsapp: Smishing
Het kan ook zijn dat criminelen een verzoek om gegevens of geld versturen via sms of WhatsApp. Dan noemen we het smishing, een samentrekking van sms en phishing. U krijgt dan een bericht op uw telefoon. Deze berichten zijn over het algemeen wat dwingender van toon. U wordt vaak gevraagd snel actie te ondernemen.
3. Via telefoon: Vishing
Er bestaat ook nog zoiets als vishing, ofwel voice phishing. Ook hier probeert een crimineel om gevoelige informatie te achterhalen of om u een betaling te laten doen. Alleen doen ze dat nu telefonisch. Dit gebeurt vaak onder een vals telefoonnummer.
Tips om de deur dicht te houden
Zorg ervoor dat cyberrisico’s en phishing een vast agendapunt vormen aan de bestuurstafel. Blijf erover praten! Naast het trainen van uw medewerkers kunt u nog meer doen om oplichters buiten de deur te houden. Ook checks, regels en procedures zijn van belang om criminelen zo min mogelijk gelegenheid te geven tot deze vorm van fraude.
Weet waar intern de zwakke plekken zitten, zowel op IT-vlak als op het menselijke vla
Maak een inventarisatie en pak de zwakke plekken aan. Denk hierbij aan maatregelen rond duidelijke functiescheidingen tussen het plannen en het uitvoeren van betalingen en aan voortdurende goede beveiliging van de IT-systemen.
Maak gebruik van up-to-date systemen
Verouderde systemen maken uw organisatie kwetsbaarder voor indringers. Zorg daarom dat u de laatste versies gebruikt.
Weet met wie uw bedrijf zakendoet
Maak een procedure voor het screenen van leveranciers en partners hun (contact-)gegevens te controleren via bijvoorbeeld de KvK of hun eigen website. Wees vooral alert als een wijziging wordt doorgegeven van een bankrekeningnummer of afleveradres.
Hanteer dubbele controle bij betalingen
Maak afspraken met elkaar over betalingsprocedures en introduceer indien nodig extra veiligheidsmaatregelen zoals een vier-ogen-principe. Dubbele controle is vaak geen overbodige luxe.
Met goed beveiligde IT-systemen, goede processen en procedures en goed getrainde medewerkers, verkleint u de kans dat uw organisatie slachtoffer wordt van oplichting via (vormen van) phishing.
Regels en procedures zijn noodzakelijk, maar de menselijke factor speelt een minstens zo grote rol. Fraudepreventie is geen eenmalige exercitie, maar een continu proces van evalueren, aanscherpen en trainen.
En ondanks allerlei maatregelen, is fraude niet 100% uit te sluiten maar de impact ervan, zoals de financiële- en reputatieschade en schade aan uw eigendommen kunnen zeker beperkt worden door een fraudeverzekering.
Wat is het verschil tussen een Fraude- en Cyberverzekering?
Er is vaak bij bedrijven toch nog veel onduidelijkheid is over hun specifieke risico’s, hoe en of zij deze voldoende kunnen afdekken door middel van een verzekering. Welke vormen van fraude worden gedekt en welke niet? Het is ook niet altijd even eenvoudig vast te stellen welk misdrijf onder een fraude- of cyberverzekering valt. Het belangrijkste uitgangspunt is dat er wordt gekeken naar de gevolgen van de fraude.
In hoofdlijnen geldt:
Fraudeverzekering
Richt zich op directe financiële schade door frauduleuze handelingen.
Dekkingen bestaan uit:
- Interne fraude (diefstal van geld of goederen, verduistering, sabotage of vernieling aan eigendommen, valsheid in geschrifte en openbaarmaking van bedrijfsgeheimen uitgevoerd door interne medewerkers ongeacht of zij in loondienst of op inhuurbasis voor uw bedrijf werken);
- Externe fraude (zoals omgeleide betalingen, valse opdrachten of facturen, CEO-fraude, social engineering, deepfake);
- Onderzoekskosten en vaststellingskosten;
- Kosten voor voortzetting van bedrijfsactiviteiten (meestal gedurende maximaal 6 maanden);
- Juridische kosten en contractuele boetes;
- Kosten ter beperking van reputatieschade.
Optioneel kunnen aanvullende risico’s worden meeverzekerd:
- Buitenlandse vestigingen;
- Computerfraude door derden als gevolg van verduistering in geschrifte, bedrog of oplichting na inbreuk op het systeem;
- Verzekeren van geld en/of geldswaardige papieren;
- Verloren gaan van waarden als gevolg van fraude gepleegd door statutaire directeuren en bestuurders.
Cyberverzekering
Richt zich primair op schade als gevolg van inbreuk op systemen, netwerken of data zoals ongeoorloofde toegang tot IT-systemen (bijv. ransomware, hacking, datalekken).
Dekkingen bestaan uit:
- Eigen schade: Kosten voor herstel van systemen, dataherstel, forensisch onderzoek, en omzetverlies door bedrijfsstilstand.
- Aansprakelijkheid: Schadeclaims van klanten of partners wiens gegevens zijn gelekt
- Fraude en afpersing: Kosten in verband met ransomware (losgeld) en e-mailfraude/phishing.
- Reputatieschade: Kosten voor PR-ondersteuning om het imago te herstellen.
- Ondersteuning door IT-specialisten in geval van een hack en juridische/forensische ondersteuning.
De voorwaarden verschillen per verzekeraar en de inrichting is vrijwel altijd maatwerk, afgestemd op omvang, sector, risicoprofiel en interne beheersing. Soms is er overlap bij digitale fraudevormen en/of kunnen eventueel onder zowel een fraude- als cyberverzekering gedekt zijn. De fraudeverzekering en de cyberverzekering zijn daarom complementair aan elkaar.
100% veiligheid bestaat niet
Hoeveel maatregelen u ook neemt, er zal altijd een risico zijn. Een menselijke fout, een technische misser of een hack kan altijd gebeuren. Dit risico kunt u afdekken met een verzekering, wij kunnen u hierbij helpen en adviseren.
Heeft u vragen? Bel dan gerust met uw accountmanager. Of neem contact op met één van onze specialisten via 010 – 251 12 51. We helpen u graag verder.
