CEO-fraude kost CEO Emmanuel Buyck bijna 200.000 euro
De CEO vraagt je dringend een factuur te betalen? Controleer deze vraag toch maar even persoonlijk bij je grote baas. Want voor je het weet, ben je het slachtoffer van CEO-fraude. Het overkwam het servicebedrijf voor industrieel rotating equipment The Rotating Company.
Natuurlijk had Emmanuel Buyck nooit gedacht het slachtoffer te worden van cybercriminelen. Tot het gebeurde.
De CEO van The Rotating Company, gespecialiseerd in de verkoop en service van industriële elektrische aandrijvingen, getuigt over CEO-fraude.
Wat is CEO-Fraude?
Bij CEO-fraude geven fraudeurs zich uit voor de CEO of een andere topmanager. Dit doen ze via een vals e-mailadres dat bijna niet te onderscheiden is van het echte adres van de CEO. Of ze kraken de echte mailbox van de CEO.
Vanuit deze mailbox geven de hackers aan een medewerker van dat bedrijf de opdracht om bedragen over te schrijven. Vaak vragen ze om dat vertrouwelijk te houden, zodat de medewerker de opdracht niet zou controleren bij zijn verantwoordelijken.
Hoe verloopt CEO-fraude?
De getuigenis van Emmanuel toont gedetailleerd hoe iedereen het slachtoffer kan worden van cybercriminelen. De aanval verliep in verschillende fasen:
Fase 1. Hackers kraken mailbox CEO
Emmanuel vertelt: "Ik weet nog altijd niet hoe ze mijn wachtwoord vonden, maar ze braken in mijn mailbox in zonder dat ik het wist. Eens ze toegang hadden tot al mijn mails was het niet zo moeilijk om in kaart te brengen wie voor wat verantwoordelijk is. Ze hielden me nauwgezet in de gaten om te zien wat ik deed, naar wie ik betalingen doorstuurde, wie verantwoordelijk was voor betalingen,… Vervolgens sloegen ze meedogenloos toe."
Fase 2. Boekhouder krijgt betalingsverzoek
"Ze namen mijn identiteit aan en stuurden mijn thuiswerkende boekhouder een mail om een betaling te doen. Heel concreet kreeg ze de dringende vraag om een betaling uit te voeren voor een investering in Amerikaanse software in de ordegrootte van 200.000 euro. Omdat ze wist dat ik een softwareplatform aan het creëren was met onder meer Amerikaanse collega-bedrijven, klonk dit niet onrealistisch of ongeloofwaardig. Ook het bedrag was niet onrealistisch hoog."
Fase 3. Hackers nemen wantrouwen weg
"Mijn boekhouder wantrouwde de mails en mailde me terug of ik wel zeker was. Maar de hackers hadden het slim aangepakt. Ze lieten de binnenkomende mails van mijn boekhouder in een andere map terechtkomen. Ik kreeg geen mails meer van haar binnen."
Beveilig je mét subsidies
Ook VLAIO moedigt ondernemingen aan om te investeren voordat het kwaad is geschied. "Bij een cyberaanval loop je het risico op reputatieschade en kan de productie enkele dagen stilliggen", weet Patrick Hauspie, programma-adviseur cyberveiligheid bij VLAIO (Team Bedrijfstrajecten).
"Laat je daarom adviseren door specialisten."
👉 Vraag subsidies aan via de cybersecurity-verbetertrajecten voor kmo’s
Fase 4. Ze verhogen de tijdsdruk
Vervolgens zetten de cybercriminelen druk op de betaling. Ondertussen voerden de hackers de druk op om 'vanuit mijn naam' de investering goed te keuren. "Mijn boekhouder ging er dus vanuit dat ik dit was."
Fase 5. Geen persoonlijk telefoontje
Emmanuel had dubbele pech die dag: "Mijn zoontje had mijn gsm in het toilet laten vallen. Daarom was ik die dag ook onbereikbaar per gsm."
Zijn boekhouder probeerde hem wel te bellen, maar ze kon hem niet spreken via zijn smartphone.
Ook het interbancair betalingsplatform belde Emmanuel om te juistheid van de betaling te checken. Maar ook zij konden hem niet bereiken.
Wat na CEO-fraude?
De CEO belde meteen zijn boekhouder: "Ze antwoordde me dat dit ‘normaal’ was, want het ging om die zogenaamde Amerikaanse investering. Toen viel mijn euro en wist ik dat ik bedrogen was."
"Ik belde eerst naar mijn bank. Deze verwees me door naar zijn fraudedienst toen ik bleef beklemtonen dat ik echt bedrogen was. Ik kon enkel nog hopen dat de betaling nog ergens zweefde tussen de banken en ze het bedrag konden onderscheppen."
Vervolgens nam hij contact op met de lokale politie. Diezelfde avond stelde een politieagent een PV op dat werd doorgestuurd naar de fraudedienst van zijn bank.
Vier tips uit ervaring
- Bescherm e-mail accounts minstens met tweestapsverificatie.
- Implementeer strenge procedures voor het veranderen van bankrekeningen van leveranciers, aanmaken van nieuwe leveranciers, uitvoeren van betalingen,…
- Neem een cyberverzekering. De kans dat je in de toekomst slachtoffer wordt van cyberoplichting is veel groter dan dat je bedrijf afbrandt of dat ze inbreken.
- "Schaam je niet", besluit Emmanuel. "We zijn niet perfect, we maken allemaal fouten. Niet het slachtoffer moet de schuld krijgen, maar wel de oplichter. Zolang we zwijgen uit schaamte hebben cybercriminelen vrij spel."
Dankzij zijn snelle ingrijpen, stond het geluk toch nog aan Emmanuels kant, vertelt hij opgelucht: "Vier dagen later kreeg ik van mijn bank het bericht dat ze de frauduleuze transactie ongedaan konden maken en het geld hadden kunnen blokkeren."
"Eén uur later stond het weer op mijn rekening. Daarvoor ben ik mijn bankier heel dankbaar."
👉 Lees het uitgebreide verhaal met tips in het Voka-artikel Waarom je je bedrijf maar beter beschermt tegen cybercriminelen
Hoe ondersteunt het Vlaams Beleidsplan CS jouw onderneming?
Vlaanderen investeert via het Beleidsplan Cybersecurity fors in onderzoek, praktische toepassingen en omkadering op het vlak van opleiding, bewustmaking en ethische vragen. Hoe ondersteunt het plan jouw bedrijf?