Factuurfraude in het mkb: de mail die net echt lijkt

Het is vrijdagmiddag, vlak voor vieren. De financieel medewerker van een Brabants maakbedrijf krijgt een bericht van de directeur. Die zit op een beurs in Duitsland en vraagt of er vandaag nog een aanbetaling naar een nieuwe leverancier kan. Het rekeningnummer staat in de bijlage. De toon klopt, de handtekening klopt en de directeur zit inderdaad in Duitsland. Toch komt het bericht niet van hem. Het is een vorm van fraude die veel ondernemers kennen van verhalen uit hun netwerk, en die zelden in de krant komt omdat bedrijven er liever niet over praten. Hoe herken je zo'n mail, en hoe richt je je organisatie zo in dat een vergissing niet direct geld kost?

Waarom juist mkb-bedrijven doelwit zijn

Grote ondernemingen hebben vaak een eigen beveiligingsafdeling en strikte procedures voor betalingen. In het mkb gaat het anders. Daar kennen collega's elkaar, zijn de lijnen kort en wordt veel op vertrouwen geregeld. Dat maakt een bedrijf wendbaar, maar ook kwetsbaar. Criminelen bereiden zich bovendien goed voor. Ze lezen mee op LinkedIn, kijken wie er op welke beurs staat en volgen de verhalen die ondernemers over zichzelf vertellen. Wie bijvoorbeeld de zakenmagazines van Regio Business leest, ziet hoe openhartig Brabantse ondernemers over hun bedrijf en hun plannen praten. Dat is mooi en waardevol voor het netwerk. Het betekent ook dat namen, functies en relaties voor iedereen vindbaar zijn. Een oplichter heeft daarna weinig nodig om een overtuigend verhaal te bouwen: een bekende naam, een bestaande klant en een moment waarop de directeur onbereikbaar is.

Een betrouwbare basis voor je zakelijke berichten

De eerste verdedigingslinie is de mailomgeving zelf. Zorg dat je zakelijke berichten via een beveiligde email lopen met sterke versleuteling en tweestapsverificatie voor iedere medewerker. Daarmee wordt het voor buitenstaanders een stuk lastiger om een account over te nemen en van binnenuit berichten te versturen. Juist die variant is gevaarlijk, omdat het bericht dan werkelijk van het adres van een collega komt. Richt daarnaast een vaste route in voor betalingen. Een nieuw rekeningnummer of een spoedbetaling wordt nooit alleen op basis van een mailtje uitgevoerd, maar altijd telefonisch gecontroleerd via een nummer dat je al kende. Dat kost een minuut en kan duizenden euro's schelen. Spreek ook af dat wijzigingen in leveranciersgegevens altijd door twee mensen worden goedgekeurd, zodat niemand er in zijn eentje voor staat.

Medewerkers zijn je sterkste schakel

Techniek helpt, maar de meeste fraudepogingen slagen of falen op het moment dat een medewerker het bericht leest. Daarom is het belangrijk dat iedereen weet waar hij op moet letten. Het Digital Trust Center van het ministerie van Economische Zaken laat in een infographic over phishing in het mkb zien hoe je medewerkers traint, afspraken maakt met je IT-leverancier en je mailinstellingen goed regelt. Bespreek ook concrete voorbeelden uit de eigen sector in het werkoverleg. Een medewerker die durft te twijfelen en even belt in plaats van direct te betalen, verdient een compliment. Ook als het bericht achteraf gewoon echt bleek te zijn. Is het geld al overgemaakt, bel de bank dan zo snel mogelijk, want hoe sneller een betaling wordt teruggeroepen, hoe groter de kans dat het geld nog niet weg is.

Een cultuur waarin even checken normaal is

Uiteindelijk draait het om een bedrijfscultuur waarin controleren geen teken van achterdocht is, maar van professionaliteit. De directeur die zelf het goede voorbeeld geeft en zegt dat hij nooit per mail om een spoedbetaling vraagt, maakt het voor zijn mensen makkelijker om nee te zeggen. Leg de afspraken vast in een korte notitie van hooguit één A4 en neem ze op in de inwerkmap voor nieuwe collega's. Zo bouw je stap voor stap aan een organisatie die weerbaar is tegen dit soort trucs. Dat is goed voor de cijfers, maar ook voor de rust op de financiële afdeling. Want niemand wil op vrijdagmiddag ontdekken dat een betaling bij de verkeerde partij is beland.