Awareness MDR deel 2: "Ons rekeningnummer is gewijzigd"

Dit is deel 2 van een reeks over digitale weerbaarheid. In deel 1 lieten we zien hoe een aanvaller een account overneemt, ook als MFA aanstaat. Nu kijken we naar wat hij daarna het liefst doet: geld laten overmaken.

Mark regelt de inkoop bij een installatiebedrijf. Hij mailt al jaren met dezelfde groothandel. Op een vrijdagmiddag komt er een mail van zijn vaste contactpersoon daar: "Vanwege een bankwissel hebben we een nieuw rekeningnummer. Wilt u de openstaande factuur daarop voldoen?" De factuur klopt, de toon klopt, het mailadres klopt.

Mark past het rekeningnummer aan en betaalt. Een maand later belt de groothandel over een openstaande rekening.

Het verhaal is verzonnen, maar het patroon is echt. Het lek zat niet bij Mark: het was de mailbox van de groothandel die was overgenomen. Toch was het geld van Mark weg.

In vakjargon heet dit BEC: Business Email Compromise. Het werkt omdat de mail niet nep is. Hij komt echt van het juiste adres, vaak midden in een lopend gesprek.

Het kan op drie manieren:

• Uw eigen mailbox is overgenomen. De aanvaller mailt uw klanten vanaf uw adres met een "nieuw rekeningnummer". Uw klanten betalen aan de aanvaller, en u mist uw geld.

• De mailbox van een leverancier is overgenomen. Zoals bij Mark. U doet niets verkeerd met uw eigen beveiliging, maar betaalt toch aan de verkeerde.

• Iemand doet zich voor als uw directeur. "Ik zit in een vergadering, kun je dringend deze betaling regelen? Niet over bellen, het is vertrouwelijk." Vaak vanaf een adres dat er bijna hetzelfde uitziet, of vanaf het echte, overgenomen account.

In alle drie de gevallen is techniek niet genoeg. De beste verdediging is een vaste werkwijze die iedereen volgt, ook onder tijdsdruk.

1. Een gewijzigd rekeningnummer. Altijd, zonder uitzondering, een reden om te controleren. Hoe vertrouwd de afzender ook is.

2. Haast of geheimhouding. "Vandaag nog", "niet over bellen", "de directeur weet ervan". Druk is het belangrijkste gereedschap van een fraudeur.

3. Een ander kanaal ontwijken. De afzender wil per se dat het per mail wordt geregeld, en is telefonisch "even niet bereikbaar".

4. Een bank in een ander land, of een rekening op een andere naam dan het bedrijf.

5. Een waarschuwing van uw bank dat naam en rekeningnummer niet bij elkaar passen. Klik die niet weg.

Deze afspraken kosten niets, en ze werken ook als een mailbox is overgenomen. Leg ze vast en zorg dat iedereen die betalingen doet ze kent.

• Terugbellen op een bekend nummer. Elke wijziging van een rekeningnummer wordt telefonisch gecontroleerd via een nummer dat u al in uw administratie had. Nooit via het nummer in de mail zelf.

• Vier ogen bij wijzigingen. De persoon die een rekeningnummer wijzigt, is niet dezelfde als degene die de betaling goedkeurt.

• Een drempelbedrag. Boven een vast bedrag is altijd een tweede akkoord nodig, ook als de directeur het zelf vraagt.

• Geen uitzonderingen onder druk. Spreek vooraf af dat haast nooit een reden is om de procedure over te slaan. Een echte directeur of leverancier begrijpt dat.

• Laat uw klanten het ook weten. Zet bijvoorbeeld op uw facturen: "Wij wijzigen ons rekeningnummer nooit per mail. Twijfelt u? Bel ons."

Snelheid is alles. Hoe eerder u handelt, hoe groter de kans dat het geld nog terug te halen is.

1. Bel direct uw bank, ook buiten kantoortijd. Vraag of de betaling kan worden tegengehouden of teruggehaald.

2. Meld het bij uw IT-beheerder. Was het uw eigen mailbox, dan moet die worden onderzocht en beveiligd. Was het die van een leverancier, waarschuw hen dan ook.

3. Doe aangifte bij de politie. Dat is vaak ook nodig voor uw bank of verzekeraar.

4. Heeft u een cyberverzekering? Meld het direct bij uw verzekeraar.

• Is er bij u een vaste, vastgelegde afspraak over het controleren van gewijzigde rekeningnummers?

• Kan één persoon bij u zelfstandig een rekeningnummer wijzigen én de betaling doen?

• Zou uw financiële medewerker "nee" durven zeggen tegen een dringende mail van de directeur?

Wat gebeurt er als al uw bestanden ineens versleuteld zijn, en wat bepaalt of u binnen een dag of binnen een maand weer aan het werk bent?