Hoe voorkomt u CEO-fraude?
- Stel duidelijke procedures vast voor het doen van betalingen en wijk daar niet van af.
- Laat werknemers na een (telefonisch) ontvangen betaalopdracht bellen met de leidinggevende via de intern bekende telefoonnummers en/of laat nog minstens één andere persoon naar het betaalverzoek kijken voordat het uitgevoerd wordt.
- Informeer uw medewerkers over het bestaan van CEO-fraude.
- Leer uw medewerkers om in het geval van (gevoelige) betalingen niet op reply te drukken, maar het mailadres te selecteren uit de contactenlijst/het eigen adresboek van het bedrijf.
- Bescherm uw e-mailadres en maildomein tegen spoofing en hacken: gebruik technieken als SPF, DKIM en DMARC, zorg voor goede antivirussoftware en gebruik sterke, unieke en regelmatig wisselende wachtwoorden.
- Bekijk uw website en social media-accounts kritisch: is het nodig de namen, functies en contactgegevens van alle medewerkers openbaar te maken?
CEO-fraude is een vorm van fraude waarbij oplichters zich voordoen als opdrachtgever of leidinggevende binnen een bedrijf, stichting, vereniging of kerkgenootschap. Ze benaderen een collega of iemand die de administratie/financiën doet en geven de opdracht cadeaubonnen of Apple Gift cards aan te schaffen. Soms wordt ook de opdracht gegeven geld over te maken.
Meestal is er haast bij de opdracht. Daarom vraagt de opdrachtgever om de kaartcode door te geven en wil hij/zij niet wachten tot de kaart zelf overhandigd kan worden. Soms is er alleen contact via de mail en moeten de codes gemaild worden. Maar vaak begint de oplichting met een mailtje waarin de oplichter vraagt om het telefoonnummer van de gedupeerde en vindt het verdere contact via bv. WhatsApp plaats.
De oplichters hebben vooraf vaak onderzoek gedaan naar wie verantwoordelijk is voor de (financiële) administratie. Ook hebben ze de mailadressen van de CEO/leidinggevende en de medewerker (financiële) administratie achterhaald via b.v. de website en/of social media. Soms wordt voorafgaand aan het betaalverzoek een korte mailwisseling gevoerd. Bijvoorbeeld om te informeren of de financieel medewerker beschikbaar is en of er nog voldoende tegoed op de rekening staat.
Voor de mail naar de financieel medewerker wordt een adres gebruikt dat bijna niet te onderscheiden is van het echte mailadres van de CEO, b.v. door een ‘l’ te vervangen door een ‘i’. Ook wordt wel gebruik gemaakt van ‘spoofing’, waarbij het lijkt alsof de mail van een bepaald afzendadres komt. Een enkele keer is het mailaccount daadwerkelijk gehackt.