“Met de baas, maak het geld meteen over” – zo klinkt AI-fraude en zo blijft je team rustig

Zou iemand uit je team geld overmaken als de baas belt, gestrest klinkt en zegt dat het dringend en vertrouwelijk is?

De meesten zouden aarzelen – gelukkig. Maar oplichters spelen precies in op dat moment: tijdsdruk, autoriteit en het verzoek om geheimhouding. Nieuw is dat ze daarvoor geen slecht gemaakte e-mail meer nodig hebben. Met AI kunnen stemmen en zelfs gezichten in video's zo echt worden nagebootst dat je het in het dagelijks leven nauwelijks merkt.

Wat er technisch vandaag kan

Het BSI (het Duitse federale bureau voor informatiebeveiliging) beschrijft hoe stemmen met AI kunnen worden nagebootst – zo goed dat mensen en zelfs automatische sprekerherkenning erin trappen. Voor hoge kwaliteit is meestal enkele uren geluidsmateriaal nodig, met extra hulpgegevens soms maar een paar minuten. Van veel leidinggevenden is zulk materiaal openbaar te vinden: interviews, video's, lezingen. Ook gezichten kunnen volgens het BSI inmiddels in realtime worden vervalst.

Een bekend voorbeeld komt uit Hongkong. Begin 2024 maakte een medewerker van een internationaal bedrijf daar na een videoconferentie omgerekend zo'n 25 miljoen Amerikaanse dollar over aan oplichters. Alle andere deelnemers aan de conferentie waren volgens de politie vervalsingen. Het viel pas op toen hij later navraag deed bij het hoofdkantoor.

De truc is oud, het gereedschap is nieuw

Vakmensen noemen dit „CEO-fraude“: iemand doet zich voor als de directie en laat een betaling uitvoeren. Vroeger per e-mail, tegenwoordig ook via een telefoontje, spraakbericht of videocall. Het patroon is bijna altijd hetzelfde:

• Het is dringend: „vandaag nog“, „voordat de bank sluit“.
• Het is geheim: „praat er met niemand over“.
• Het is ongebruikelijk: nieuw rekeningnummer, nieuwe ontvanger, ongewoon kanaal.
• Het komt van helemaal bovenaan – zodat niemand tegenspreekt.

Volgens het Bundeslagebild Cybercrime 2025 (het landelijke situatierapport over cybercriminaliteit) van het BKA (de Duitse federale recherche) gebruiken criminelen AI om aanvallen efficiënter en professioneler te maken. Phishing wordt overtuigender, taalfouten verdwijnen. De kenmerken waaraan je fraude vroeger herkende, zijn daardoor steeds minder bruikbaar.

Drie regels die meer opleveren dan welke software ook

• Terugbellen via een bekend nummer. Bij elk ongebruikelijk verzoek om geld of gegevens hang je op en bel je de persoon terug via het nummer dat jullie toch al hebben opgeslagen – niet via het nummer dat in het gesprek of de mail wordt genoemd.
• Vier ogen bij geld. Nieuwe rekeningnummers en betalingen boven een vast bedrag worden altijd door een tweede persoon goedgekeurd. Zonder uitzondering, ook niet „alleen vandaag”.
• Een codewoord voor noodgevallen. Spreek een woord of vraag af die alleen echte collega's kennen. Klinkt als een spionagefilm, maar het werkt.

Belangrijk is dat de leiding deze regels zelf voorleeft en open zegt: “Als ik bel en iets ongewoons wil, bel me dan alsjeblieft terug. Ik ben niet beledigd.” Die ene zin haalt de druk bij het team weg.

Trainen zonder bang te maken

Het doel is niet dat je team elk telefoontje verdacht vindt. Het doel is dat niemand alleen hoeft te beslissen als er iets vreemd is. Een goede training duurt nog geen twee uur en bestaat uit drie delen: een of twee echte voorbeelden horen of zien, de vaste procedure samen doorlopen en die één keer oefenen – bijvoorbeeld in een rollenspel waarin iemand de „baas” speelt en iemand anders vriendelijk terugbelt.

Belangrijk is de toon. Wie na een training bang is om de telefoon op te nemen, is slecht getraind. Wie weet dat doorvragen uitdrukkelijk gewenst is, blijft rustig. En als iemand toch eens in een truc trapt, geldt: meteen melden is goed, verstoppen is fout. Alleen zo leert het hele team ervan.

Ook de techniek kan een beetje helpen: betalingsgoedkeuringen in online bankieren aan twee personen koppelen, telefoonnummers van de directie als contacten in het telefoonsysteem opslaan, verdachte mails met één klik doorsturen naar een controleadres. Dat vervangt geen duidelijke werkwijze, maar maakt die wel makkelijker.

En als het toch gebeurd is?

Handel dan snel, maar rustig. Informeer meteen de bank en probeer de betaling terug te halen. Schrijf alles op en leg bewijs vast: belgeschiedenis, mails, spraakberichten. Doe aangifte bij de politie – in Duitsland hebben de Landeskriminalämter (de recherchediensten van de deelstaten) daarvoor speciale centrale aanspreekpunten voor cybercrime bij bedrijven. En evalueer daarna zonder schuldvraag hoe het zo gekomen is. Wie fouten open meldt, helpt iedereen; wie bang is voor gedoe, zwijgt. Hoe de eerste minuten na een aanval eruitzien, staat in het 10-minuten-noodplan.

Het Cybermonster traint je team – zonder bangmakerij, met echte voorbeelden en een werkwijze die in de praktijk werkt. Is bij jullie de telefoon de hoofdlijn naar de klant, dan kijkt het Telefoniemonster meteen mee naar nummers en doorschakelingen.