CEO-fraude met een deepfake: wat te doen als uw directie wordt nagebootst

1. CEO-fraude met AI: drie gedocumenteerde gevallen

• Arup (Hongkong, januari 2024): een medewerker van het Hongkongse kantoor van het Britse ingenieursbureau kreeg een bericht over een “vertrouwelijke transactie” van de financieel directeur in het Verenigd Koninkrijk. In de videovergadering die volgde, waren de financieel directeur en meerdere collega's door AI gemaakte vervalsingen. De medewerker deed 15 overboekingen naar vijf Hongkongse rekeningen, in totaal 200 miljoen Hongkongse dollar (ongeveer 25 miljoen Amerikaanse dollar). Arup bevestigde dat “valse stemmen en beelden werden gebruikt”.
• WPP (bekend geworden in mei 2024): oplichters gebruikten de openbare foto van CEO Mark Read voor een WhatsApp-account en organiseerden een Microsoft Teams-vergadering waaraan Read en een andere topmanager van WPP leken deel te nemen. Ze zetten een stemkloon en YouTube-beelden van die manager in, “Read” schreef zonder camera in de chat, en ze vroegen een bureaudirecteur een nieuwe activiteit op te zetten om geld en persoonsgegevens los te krijgen. De poging mislukte omdat de benaderde mensen voorzichtig waren.
• Ferrari (juli 2024): een manager kreeg WhatsApp-berichten en daarna een telefoontje waarin de stem van CEO Benedetto Vigna werd nagebootst, over een vertrouwelijke overname. Hij vroeg naar de titel van een boek dat Vigna hem kort daarvoor had aangeraden. De beller hing op.

Leidinggevenden worden ook benaderd via gekloonde publieke figuren: in februari 2025 werd de stem van de Italiaanse minister van Defensie, Guido Crosetto, gekloond om Italiaanse topondernemers te benaderen. De voormalige eigenaar van Inter Milaan, Massimo Moratti, maakte bijna 1 miljoen euro over, dat de politie later op een Nederlandse bankrekening bevroor.

Het gaat om grote bedragen. Het Internet Crime Complaint Center van de FBI registreerde in 2025 een schade van 3,05 miljard Amerikaanse dollar door business e-mail compromise (de e-mailvariant van CEO-fraude) bij 24.768 klachten, en voor het eerst 22.364 klachten waarbij AI een rol speelde, met een schade van meer dan 893 miljoen Amerikaanse dollar.

2. Er is een overboeking gevraagd of gedaan: de eerste uren

1. Is er geld weg, bel dan nu uw bank en vraag om de betaling terug te halen. De FBI zegt het duidelijk: “tijd is van wezenlijk belang”. In 2025 heeft het Recovery Asset Team van de FBI 679 miljoen Amerikaanse dollar bevroren van de 1,16 miljard Amerikaanse dollar aan pogingen tot diefstal waarbij het werd ingeschakeld.
2. Is de betaling nog niet uitgevoerd, stop haar dan en blokkeer de frauduleuze bankgegevens in uw betaalsystemen.
3. Breng de directie, de financiële afdeling en de nagebootste leidinggevende op de hoogte, via een kanaal dat u vertrouwt.
4. Bewaar alles: telefoonnummers, berichten, e-mails met volledige header, opnamen of notities van het gesprek, uitnodigingen voor vergaderingen, betaalopdrachten.
5. Doe aangifte:
   • Nederland: bij de politie (0900-8844, bij spoed 112). Meld de fraude ook bij de Fraudehelpdesk (088-786 7372), die ook CEO-fraude behandelt, voor bedrijven en particulieren.
   • België: dien klacht in bij de politie van uw zone (bij spoed 101 of 112). Verdachte e-mails en berichten kunt u doorsturen naar verdacht@safeonweb.be.
6. Wijzig de wachtwoorden en schakel tweestapsverificatie in als een e-mailaccount gehackt kan zijn, en breng uw verzekeraar op de hoogte als u een cyber- of fraudeverzekering heeft.

3. Er circuleert een nepvideo of nepadvertentie van uw leidinggevende

1. Bewaar het bewijs: de URL van elke advertentie, elke video en elke pagina, gedateerde schermafbeeldingen, de naam van de adverteerder of het account en, bij advertenties van Meta, de vermelding in de advertentiebibliotheek.
2. Waarschuw publiekelijk, via uw officiële kanalen: “Er circuleert een gemanipuleerde video van [naam]. Wij bieden op deze manier geen beleggingen aan. Maak geen geld over.”
3. Meld elke inhoud op het platform, als identiteitsfraude of oplichting, en controleer de andere advertenties van dezelfde adverteerder. Stap voor stap: onze gids over nepadvertenties.
4. Gebruik de hulpmiddelen voor publieke figuren: Meta biedt hen een tool die oplichtingsadvertenties met hun gezicht automatisch opspoort. In de EU en het Verenigd Koninkrijk is die sinds maart 2025 beschikbaar als u zich aanmeldt; in veel andere landen schrijft Meta de betrokken personen zelf in, en zij kunnen zich afmelden.
5. Is de stem gekloond (spraakberichten, telefoontjes, nagesynchroniseerde video's), volg dan ook onze gids over een met AI gekloonde stem.
6. Weigert het platform of antwoordt het niet: in de EU moeten platforms op grond van de Digital Services Act een interne klachtenprocedure aanbieden; elders vraagt u om een herbeoordeling en stuurt u een schriftelijke melding.

4. Voorkomen: de controles die deze fraude stoppen

CEO-fraude is social engineering: de daders hacken uw systemen niet, maar spelen in op gezag, tijdsdruk en geheimhouding, zodat niemand vragen stelt. Een deepfake maakt het bedrog geloofwaardiger, maar de truc blijft dezelfde. Vaste procedures helpen daarom meer dan een geoefend oor.

1. Altijd terugbellen. Elke dringende, vertrouwelijke of ongebruikelijke betaalopdracht wordt bevestigd door de persoon terug te bellen op een nummer dat al bekend is, nooit op het nummer uit het bericht. Dat is het belangrijkste advies van de FBI bij gekloonde stemmen.
2. Vier-ogenprincipe. Geen ongebruikelijke betaling en geen wijziging van bankgegevens zonder goedkeuring van een tweede persoon, volgens een schriftelijke procedure.
3. Een controlevraag of codewoord dat alleen de echte personen kennen, zoals de vraag over het boek bij Ferrari, of een vooraf afgesproken woord.
4. Geen uitzondering voor de CEO. De regel geldt ook als “de CEO” zegt dat het dringend of geheim is. Dat zijn precies de argumenten van de oplichters.
5. Train de meest blootgestelde mensen: boekhouding, treasury, directieassistenten, buitenlandse dochterondernemingen. Neem de echte gevallen hierboven met hen door.
6. Aanvaard dat video's van leidinggevenden openbaar zijn. U kunt niet elke conferentiepresentatie en elk interview offline halen, en juist daarmee worden stemklonen gemaakt. De bescherming is dat een stem of een gezicht alleen nooit een betaling vrijgeeft.

In het Verenigd Koninkrijk registreerde UK Finance in 2025 in totaal 197 gevallen van CEO-fraude met 5,6 miljoen pond schade, de minst voorkomende vorm van fraude met geautoriseerde overboekingen (minder dan 1 % van de gevallen), tegenover 41,3 miljoen pond bij fraude met facturen en machtigingen.

5. Wat de wet zegt

Wie zich voordoet als leidinggevende om een betaling te verkrijgen, pleegt in Nederland oplichting (art. 326 Wetboek van Strafrecht, onder meer “door het aannemen van een valse naam of van een valse hoedanigheid”), in België eveneens oplichting (art. 479 van het nieuwe Strafwetboek), en is ook in de rest van de EU strafbaar. Platforms verbieden identiteitsfraude en misleidende advertenties bovendien in hun eigen regels; een verwijdering vereist dus geen rechterlijke uitspraak. Of u geld van een bank kunt terugvorderen of een vordering kunt instellen, hangt af van het recht en de contracten: neem contact op met een advocaat. Deze pagina is algemene informatie, geen juridisch advies.