Deepfake-fraude bij bedrijven: zo werkt de nep-CFO en zo houd je hem buiten

Wat is deepfake-fraude?

Bij deepfake-CEO-fraude is de stem of video van een leidinggevende met AI nagebootst.

Het is een nieuwe vorm van een oude truc: CEO-fraude. Het NCSC rekent CEO-fraude tot Business E-mail Compromise, of BEC-fraude. Daarbij doet een aanvaller zich voor als iemand met een hoge functie, zoals de CEO, en zet hij medewerkers onder druk om geld over te maken. Vaak kiest de aanvaller bewust medewerkers die betalingen doen of rechtstreeks contact hebben met de directie.

Nieuw is de inzet van AI. Een deepfake is volgens het NCSC een techniek op basis van kunstmatige intelligentie om geluid of beeld van mensen te maken of na te bootsen. Het NCSC noemt CEO-fraude als voorbeeld van fraude waarbij die techniek kan worden gebruikt. De Fraudehelpdesk zag in 2019 de eerste meldingen van CEO-fraude waarbij het nagebootste stemgeluid van een directeur in een gesproken WhatsApp-bericht werd gebruikt. Het hoofd van de boekhouding geloofde daardoor dat de betaalopdracht echt was. Volgens het NCSC maakt AI nepberichten perfect na, kloont het stemmen in seconden en simuleert het videogesprekken met de CEO. Het doel blijft hetzelfde: een betaling die lijkt goedgekeurd door de top.

Deepfakes herkennen is vooral een kwestie van kennis en bewustwording bij iedereen in de organisatie. IT kan dat ondersteunen, met kennis en met systemen die deepfakes herkennen en volgen.

De nep-CFO in Hongkong

Een vooraf opgenomen videogesprek met een nep-CFO kostte een bedrijf in Hongkong ongeveer HK$200 miljoen.

Een gedocumenteerd geval komt uit Hongkong. In een schriftelijk antwoord aan het parlement van Hongkong van juni 2024 beschreef de minister van Veiligheid het stap voor stap:

1. Eind januari 2024 kreeg een medewerker een phishingmail van iemand die zich voordeed als de financieel directeur (CFO) van het hoofdkantoor in het Verenigd Koninkrijk.
2. De medewerker werd uitgenodigd voor een groepsvideogesprek over “vertrouwelijke transacties”.
3. Op instructie gaf de medewerker opdracht voor overboekingen naar vijf lokale bankrekeningen. Het verlies was ongeveer HK$200 miljoen.
4. Volgens de politie was het videogesprek vooraf opgenomen, gemaakt met openbare video’s van internet en de stem van de nagebootste bestuurder. Er was geen echte interactie.
5. De fraudeur beëindigde het gesprek met een smoes en gaf daarna verdere betaalopdrachten via een chatapp.

Hetzelfde antwoord noemt een tweede zaak, van 20 mei 2024. Een medewerker van een internationaal handelsbedrijf zat bijna 30 minuten in een videogesprek met een “nepbaas”, die vroeg om bijna HK$4 miljoen over te maken. Kijk wat het liet werken: een bekend gezicht, een vertrouwde functie, geheimhouding en haast. Voor zover de minister het beschrijft, was daar geen hack van systemen voor nodig.

Gebeurt dit ook in Nederland?

Ja: ook in Nederland zijn er pogingen, en het aantal meldingen van CEO-fraude groeit.

In een interview met het NCSC vertelt Manon den Dunnen, strategisch specialist digitaal bij de politie, over een mislukte poging tot CEO-fraude bij Bunq. Een medewerker van de bank kreeg via een videogesprek met de topman het verzoek om geld over te maken. Het bleek een deepfake. De medewerker belde zelf de CEO terug. Ook CEO-fraude via gewone e-mail kan al heel duur zijn. Het NCSC noemt bioscoopketen Pathé, die voor 19 miljoen euro werd opgelicht. De cijfers laten zien dat het probleem groeit. Ze meten wel CEO- of BEC-fraude in het algemeen, niet deepfake-fraude apart. En meldingen zijn maar een deel van het verhaal: niet elk bedrijf meldt fraude, en niet elk slachtoffer weet dat er AI in het spel was.

• Meldingen.
  Volgens de terugblik op 2025 van de Fraudehelpdesk was CEO-fraude in 2025 de op twee na meest gemelde zakelijke fraudevorm, met 327 meldingen. In 2024 waren dat er 247. In de lijst met het hoogste schadebedrag bij bedrijven staat CEO-fraude in 2025 op 2, met 121.000 euro.
• Grote bedrijven vaker geraakt.
  Volgens de Cybersecuritymonitor 2025 van het CBS kreeg in 2024 1 procent van alle bedrijven met 2 of meer werknemers te maken met BEC-fraude. Bij bedrijven met 50 tot 250 werknemers was dat 6 procent, bij bedrijven met 250 of meer werknemers 11 procent.
• Europa.
  Europol schrijft in zijn dreigingsbeeld IOCTA 2026 dat fraude het snelst groeiende terrein van de georganiseerde misdaad is. Generatieve AI zorgde volgens Europol voor meer echtheid bij BEC- en CEO-fraude.

Waarom trappen mensen erin?

De truc is gebouwd op normaal gedrag: vertrouwen, autoriteit en tijdsdruk.

Het NCSC schrijft in de publicatie BEC: praktische handvatten voor het mkb: “BEC is geen technische hack.” Criminelen misbruiken vertrouwen, autoriteit en tijdsdruk. Ze creëren urgentie, benadrukken vertrouwelijkheid en bootsen na hoe de directeur normaal communiceert.

De voorbereiding is grondig. Volgens de Fraudehelpdesk gebruiken fraudeurs de LinkedIn-pagina van een bedrijf om te zien wie welke functie heeft. Een afwezigheidsmelding verraadt wanneer de directeur in het buitenland is. Dan komt het verzoek om een groot bedrag over te maken “in verband met een nog geheim te houden deal”. Het NCSC voegt toe dat criminelen vaak toeslaan vlak voor een vakantie, in een drukke periode of als een beslisser afwezig is. Ook Europol ziet dat. In IOCTA 2026 staat dat social engineering en menselijke fouten de zwakste schakels blijven die fraudeurs uitbuiten.

Kun je een deepfake herkennen?

Steeds minder goed, en ook detectiesoftware helpt nauwelijks.

Het NCSC noemt nog wel signalen: een mond die niet goed met het geluid meebeweegt, vreemde belichting, onnatuurlijke pauzes in een stem, of een slechte verbinding als excuus voor haperend beeld. Maar de conclusie van het NCSC is duidelijk: “In het AI-tijdperk kun je niet meer vertrouwen op eerste gezicht of gehoor.”

Ook op detectiesoftware kun je niet bouwen. Volgens Manon den Dunnen hebben detectietools nauwelijks effect, omdat de systemen die deepfakes maken zelf een ingebouwde detector hebben. Elke betere detector helpt zo ook om betere nepbeelden te maken. Haar advies: “Dit lossen we niet op met regulering of technologie, dit moet je oplossen in gedrag.” Waarom deepfakes zo lastig te herkennen zijn, lees je ook in het goede, het slechte en de toekomst van deepfakes.

Hoe houd je de nep-CFO buiten?

Vertrouw op een betaalproces dat de nep onschadelijk maakt, niet op mensen die hem moeten herkennen.

Het NCSC zegt het zo: verschuif van “herken de fout” naar “verifieer de legitimiteit”. De Fraudehelpdesk vat het samen in drie stappen: vertraag, vraag en verifieer. Handel niet meteen, stel kritische vragen en controleer informatie via een vertrouwde bron voordat je betaalt. Loop daarvoor je betaalproces stap voor stap door, van het verzoek tot de overboeking: welke stappen kunnen AI en andere techniek ondersteunen, zoals vastleggen wie wat heeft goedgekeurd, en welke beslissing blijft bij mensen, zoals terugbellen en de betaling vrijgeven?

• Vier ogen bij betalingen.
  Laat betalingen altijd door minstens twee personen goedkeuren, en leg dat vast in de procedures. Dan kan één medewerker onder druk geen grote betaling doen, hoe hoog de vrager ook lijkt.
• Terugbellen op een nummer uit je eigen administratie.
  Bij elk betaalverzoek of gewijzigd rekeningnummer bel je terug op een nummer dat je zelf hebt. Nooit het nummer uit het bericht. Let op: volgens het NCSC kunnen criminelen het laten lijken alsof ze vanaf een bekend nummer bellen.
• Een controlevraag of codewoord.
  Het NCSC raadt aan om met de directie een geheim woord af te spreken voor dringende betaalverzoeken. Den Dunnen stelt een belevingsvraag voor, zoals: “Hoe was je gesprek gisteren?”
• Vaste regels voor nieuwe bankgegevens.
  Bankgegevens van een leverancier wijzigen alleen na telefonische bevestiging.
• Maak “geheim en dringend” een alarmsignaal.
  Hoe groter de druk, hoe grondiger de controle. Zeg vanuit de top dat geheimhouding nooit boven de betaalcontrole gaat.
• Vertrouwelijke gesprekken in persoon.
  “Als je vertrouwelijke gesprekken hebt, kun je ze beter in persoon voeren,” zegt Den Dunnen.
• Een meldcultuur.
  Medewerkers moeten zich veilig voelen om te twijfelen. Den Dunnen: “Je moet trots zijn op iemand die een extra vraag stelt.”

Wat als het toch misgaat?

Snelheid telt: het NCSC adviseert om binnen een uur je bank te bellen en aangifte te doen.

Volgens het NCSC kan het geld binnen enkele uren onvindbaar zijn. Het NCSC adviseert om binnen een uur:

1. je bank te bellen en te vragen de betaling te stoppen of terug te halen;
2. aangifte te doen bij de politie, online via politie.nl of telefonisch via 0900-8844;
3. je IT-dienstverlener de mailboxen te laten controleren op inbraak;
4. de wachtwoorden van alle betrokken accounts te wijzigen;
5. ontvangers te waarschuwen als criminelen vanuit jouw e-mailaccount berichten hebben verstuurd.

Hebben aanvallers toegang gehad tot mailboxen of persoonsgegevens? Dan moet je volgens het NCSC binnen 72 uur een melding doen bij de Autoriteit Persoonsgegevens, als de wet dat vereist.

Helpt de AI Act hiertegen?

Deels: de AI Act maakt echte AI-inhoud beter herkenbaar, maar criminelen zetten geen label op hun nep.

Volgens artikel 50 van de Europese AI-wetgeving (AI Act) moet wie met een AI-systeem een deepfake maakt, melden dat de beelden of het geluid kunstmatig zijn gemaakt of bewerkt. Aanbieders van AI-systemen die synthetisch geluid, beeld, video of tekst maken, moeten de uitkomst machineleesbaar markeren, zodat te herkennen is dat die kunstmatig is. De Europese Commissie schrijft dat deze transparantieregels ingaan in augustus 2026. Voor AI-systemen die al vóór 2 augustus 2026 op de markt waren, moeten aanbieders volgens artikel 111 uiterlijk 2 december 2026 aan die markering voldoen.

Dat helpt eerlijke gebruikers en platforms. Criminelen zetten geen label op hun nep. De wet maakt echte AI-inhoud beter herkenbaar, maar je betaalproces moet de valse nog steeds tegenhouden.

Veelgestelde vragen

Hoe verschillen CEO- en BEC-fraude?

BEC-fraude is de verzamelnaam. Volgens het NCSC doet een aanvaller zich daarbij voor als een e-mailcontact van een medewerker, zoals een klant, collega of partner. CEO-fraude is een van de meest voorkomende vormen: de aanvaller doet zich voor als iemand met een hoge functie. Factuurfraude, waarbij een nepleverancier een ander rekeningnummer doorgeeft, is een andere vorm.

Vergoedt bank of verzekeraar de schade?

Meestal niet. Volgens het NCSC vergoedt de verzekeraar meestal niets, omdat de betaling uit eigen beweging is gedaan. Ook de bank vergoedt dit type fraude niet, omdat je de betaling zelf hebt goedgekeurd. Lees daarom je eigen polis na.

Waar meld je deepfake-fraude?

Doe aangifte bij de politie, via politie.nl of 0900-8844. Bel ook meteen je bank. Organisaties kunnen (pogingen tot) misbruik daarnaast melden bij het NCSC. Snel melden helpt volgens het NCSC om nieuwe aanvallen te herkennen en te stoppen.

Is een deepfake maken verboden?

Niet als zodanig. De AI Act verplicht wie een deepfake met een AI-systeem maakt om te melden dat het nep is. Bij duidelijk artistiek, satirisch of fictief werk is een lichtere melding genoeg. Voor fraude maakt dat weinig uit: oplichters houden zich niet aan labelplichten.

Is mijn bedrijf te klein als doelwit?

Nee. Het NCSC schrijft dat vooral het mkb kwetsbaar is voor BEC-aanvallen, onder meer door korte lijnen, informele besluitvorming en drukke medewerkers. Uit de CBS-cijfers blijkt wel dat grote bedrijven vaker met BEC-fraude te maken krijgen.

Wat moet het bestuur nu doen?

Begin met drie vragen over je betaalproces, en test de antwoorden.

Stel drie vragen. Kan één persoon in ons bedrijf een grote betaling doen na één telefoontje of videogesprek? Weten onze financiële medewerkers dat ze nee mogen zeggen tegen een bestuurder, en dat we dat ook van ze verwachten? En wanneer hebben we dat voor het laatst getest? Is het antwoord op de eerste vraag ja, dan begin je daar. Het is ook een van de thema’s in de lezing over cybercrime in het AI-tijdperk, want de zwakke plek is zelden de techniek. Het is het moment waarop iemand besluit te vertrouwen. Actuele voorbeelden, elk met datum en bron, staan op de nieuwspagina over cybercrime en AI.

Deepfakes laten zien dat nieuwe technologie ook criminelen nieuwe middelen geeft. Ik denk dat leidinggevenden hier vooral een kritische blik moeten aanmoedigen: medewerkers die een extra vraag durven te stellen en weten dat ze nee mogen zeggen tegen een bestuurder. Test dat samen, en bespreek daarna open wat goed ging en wat beter kan. Hoe je mensen zo alert krijgt en houdt, is ook het onderwerp van de lezing over de organisatie van de toekomst.