CEO-fraude is de aanval waarbij iemand zich voordoet als de zaakvoerder of een bestuurder en een medewerker aanzet tot een betaling of een overdracht van gegevens. Er komt geen virus aan te pas. Ze werkt op gezag en op haast.
Hoe zo’n bericht eruitziet
Het komt van een adres dat lijkt te kloppen, of van een gsm-nummer met de juiste naam in de aanhef. De toon is kort. Er is een reden waarom er niet gebeld kan worden — een vergadering, een vliegtuig, een gesprek met een klant. Er is een termijn: vandaag nog, voor de bank sluit.
En er is bijna altijd één zin die vraagt om het discreet te houden: het gaat over een overname, een gevoelige aanwerving, iets waar de rest niets van mag weten.
Waarom het werkt
Niet door onoplettendheid. Door de combinatie van gezag, haast en geheimhouding, die precies de drie dingen wegneemt die iemand normaal zou doen: navragen, wachten, en het aan een collega tonen.
Het treft daarom niet de nieuwe kracht maar de loyale medewerker die graag snel helpt.
De ene afspraak die het stopt
Geen enkele betaling of wijziging van betaalgegevens gebeurt op basis van een bericht alleen. Er wordt altijd gebeld, op een nummer uit uw eigen bestanden — nooit een nummer uit het bericht zelf.
Twee dingen maken die afspraak sluitend:
- Ze geldt ook voor de zaakvoerder. Wie een uitzondering maakt voor zichzelf, maakt de regel waardeloos.
- Terugbellen is nooit een blijk van wantrouwen. Dat moet uitgesproken worden, anders durft niemand het.
Wat er daarnaast helpt
Een vast betaalproces met vier ogen bij bedragen boven een grens die u zelf bepaalt. Een waarschuwing op mail van buiten de organisatie. En oefening: een phishingsimulatie die dit scenario nabootst, laat zien of de afspraak in de praktijk standhoudt.
Zie ook nepfacturen herkennen en phishing herkennen.