In dit artikel
Het is dinsdagmiddag. Je vaste vleesleverancier belt — je herkent de stem meteen, dezelfde man met wie je al drie jaar zaken doet. Hij klinkt gehaast: de bank van de zaak is overgeschakeld op een nieuw systeem, en de betaling van vandaag moet naar een ander rekeningnummer. Hij stuurt het je meteen door via WhatsApp. Kan je het nu overschrijven, hij zit tussen twee leveringen door?
De stem is niet vals. Ze klinkt exact zoals hij. En dat is precies wat er is veranderd: die stem is niet langer een garantie dat je met hem spreekt.
Wat er is veranderd
Factuurfraude bestaat al zolang er facturen zijn — een vervalste brief, een vervalste e-mail met een net iets ander domein, een handtekening die niet helemaal klopt. Restaurants herkennen dat inmiddels grotendeels: een e-mail van "je boekhouder" met een spatie te veel in het adres wordt gewantrouwd.
Wat nieuw is, is de stem. Onderzoek van beveiligingsbedrijf McAfee liet zien dat ongeveer drie seconden geluid genoeg is om een stem na te bootsen met zo'n 85% nauwkeurigheid — genoeg om een geoefend oor te overtuigen. Die drie seconden zijn overal te vinden: een voicemailbericht, een reactie op een Google-review die je leverancier zelf insprak, een fragment uit een podcast-aflevering. Niemand hoeft iets speciaals te doen om die audio publiek te maken; ze staat er vaak al.
De schaal van dit soort fraude is voor Belgische en Nederlandse restaurants niet in exacte cijfers te vatten — de meeste incidenten worden nooit gemeld, uit gêne of omdat het bedrag te klein leek om de moeite waard te zijn. Wat wél bekend is: bij grote bedrijven loopt de gemiddelde schade per geval van dit type fraude (in de VS gerapporteerd door de FBI, onder de noemer "Business Email Compromise") in de tienduizenden tot honderdduizenden euro's, en het aantal gevallen stijgt jaar na jaar. Het mechanisme dat daar werkt, is exact hetzelfde mechanisme dat op een kleine keuken werkt — alleen het bedrag verschilt.
De reden dat een zelfstandige zaak extra kwetsbaar is, zit niet in de techniek maar in de organisatie. In een groot bedrijf zet de ene medewerker een betaling klaar en keurt een andere ze goed. In een restaurant is dat vaak dezelfde persoon — de eigenaar, of wie er net aan het bureau zit tussen twee bedieningen door. Een verzoek dat klinkt alsof het van iemand komt die je al vertrouwt, is precies ontworpen om die dubbele controle te omzeilen die een grotere organisatie wél zou toepassen.
De anatomie van één telefoontje
Vijf momenten, elk met een teken en een stopactie
Een bericht of telefoontje dat dringend is, net buiten het gewone kanaal (WhatsApp in plaats van mail) of op een net iets vreemd tijdstip — vaak met een excuus ("de bank is overgeschakeld", "ons systeem is aangepast").
Een échte leverancier of boekhouder heeft nooit haast bij een banknummer. Vertraging kost hen niets; jou wél als je nu overschrijft.
De stem klopt — maar er wordt druk gezet om vandaag te handelen, en om het niet eerst met iemand anders te overleggen. "Laten we het simpel houden", of "ik wilde je niet lastigvallen met details".
Elke echte zakenpartner begrijpt dat je even wil nakijken. Wie dat verzoek wegwuift, geeft zelf het duidelijkste signaal.
Je wordt gevraagd het niet te melden aan je partner, je boekhouder of wie er nog meebeslist — "om het simpel te houden" — of er wordt gezegd dat de gebruikelijke contactpersoon nu net niet bereikbaar is.
Dit is het duidelijkste signaal van alle vijf. Een leverancier vraagt nooit om iets stil te houden voor je eigen boekhouder.
Een gewijzigd rekeningnummer op een bestaande of komende factuur — soms een klein verschil met het nummer dat je al jaren gebruikt, soms een compleet ander nummer "tijdelijk, voor deze ene keer".
Bel het nummer dat je al had, vóór dit gesprek begon — nooit een nummer dat in hetzelfde bericht staat dat om de wijziging vraagt.
Zodra het geld vertrekt via een gewone overschrijving, is het vrijwel meteen vertrokken — anders dan bij een kaartbetaling is er geen automatische terugvordering.
Dit is het laatste moment, en daarom is elk moment ervoor het echte verdedigingsmoment. Eenmaal hier, hangt alles af van hoe snel je de bank belt (zie verderop).
Bij elk van deze vijf momenten volstaat één gewoonte om het stil te leggen: terugbellen op een nummer dat je al had, nooit op een nummer uit hetzelfde bericht.
Geen van deze vijf momenten vraagt technische kennis om te herkennen. Ze vragen alleen dat je weet waarnaar je moet kijken — en dat je één gewoonte hebt ingebouwd voordat het telefoontje komt.
Het terugbel-protocol
Er is één gewoonte die op elk van de vijf momenten hierboven werkt, en ze kost vrijwel niets: controleer een gewijzigd betaalgegeven altijd via contactgegevens die je al had — nooit via een nummer, e-mailadres of link die in hetzelfde bericht staat dat om de wijziging vraagt. Bel het nummer dat in je telefoon staat, of dat op de vorige factuur stond. Niet het nummer waarmee net gebeld werd.
Drie regels maken dat protocol werkbaar in de praktijk van een keuken waar niemand tijd heeft voor een compliance-afdeling:
- Elk gewijzigd rekeningnummer verdient een tweede paar ogen — ook in een zaak van twee mensen. Dat is je partner, je boekhouder, of wie er ook maar niet dezelfde persoon is die het telefoontje kreeg én de betaling uitvoert. Eén persoon die zowel het verzoek ontvangt als het geld verstuurt, is precies de situatie die fraude zoekt.
- Een eerste wijziging op een grote factuur verdient een korte pauze — een dag, of gewoon tot je de leverancier op het oude nummer aan de lijn hebt gehad. Een echte wijziging overleeft die pauze probleemloos; een frauduleuze meestal niet, omdat de druk om nu te handelen net het hele punt was.
- Spreek met je team af dat niemand wordt uitgelachen voor een controletelefoontje. De grootste reden dat dit protocol faalt, is niet onwetendheid — het is dat iemand zich ongemakkelijk voelt om de leverancier te bellen "om te checken of hij het echt was". Maak dat de norm, niet de uitzondering.
Zonder terugbellen versus met terugbellen
Dezelfde vraag, twee paden
Bericht met gewijzigd rekeningnummer komt binnen
Betaling wordt meteen uitgevoerd
Geld is vertrokken — geen terugvordering mogelijk
Bericht met gewijzigd rekeningnummer komt binnen
Terugbellen op het nummer dat je al had (< 2 minuten)
Fraude ontdekt — niets verloren
De verdediging kost minder dan twee minuten. De fout die ze voorkomt, kost wat er op de factuur stond.
Hoe verdacht is dit telefoontje?
Geen enkel kenmerk hieronder bewijst op zichzelf fraude — maar hoe meer ervan aanwezig zijn, hoe groter de reden om eerst terug te bellen voor je betaalt. Vink aan wat van toepassing is op een gesprek dat je net had of nu hebt.
Risico-check voor dit gesprek
Vink aan wat klopt — het oordeel verschijnt automatisch
Oordeel
Laag risico
Weinig signalen aanwezig. Toch geen kwaad om even terug te bellen op het bekende nummer voor je bevestigt — dat kost je twee minuten.
0 / 7 kenmerken aangevinkt
Deze lijst vervangt geen boerenverstand — een gesprek met nul vinkjes kan nog steeds fraude zijn, en één vinkje bewijst niets. Ze is een geheugensteun voor het moment waarop je haast voelt en even wil checken of die haast normaal is.
Als het al is gebeurd
Ontdek je pas ná de overschrijving dat er iets niet klopte, dan telt elke minuut. Doe dit in deze volgorde:
- Bel meteen de fraudelijn van je bank — niet de gewone klantendienst. Banken kunnen een overschrijving soms nog terugroepen als het geld de ontvangende rekening nog niet volledig heeft bereikt, maar dat venster is meestal een kwestie van minuten tot enkele uren, niet dagen.
- Doe aangifte bij de politie. Ook als het bedrag klein lijkt: een aangifte is nodig voor een eventuele verzekeringsclaim, en helpt de politie het patroon te herkennen als dezelfde fraudeur meerdere zaken benadert.
- Laat het je echte leverancier of boekhouder weten. Zij kunnen andere klanten waarschuwen die mogelijk hetzelfde telefoontje krijgen — en het is voor hen net zo vervelend dat hun naam en stem hiervoor gebruikt worden.
- Wees niet beschaamd om het te melden binnen je team. Dit overkomt bedrijven van elke grootte: in 2024 maakte de Britse dochter van een Duits energiebedrijf naar verluidt 220.000 euro over nadat de directeur een telefoontje kreeg dat exact klonk als de CEO van het Duitse moederbedrijf, met een gekloonde stem, die om een dringende betaling vroeg voor een deal. Als het daar kan gebeuren, is het geen persoonlijk falen als het bij jou gebeurt.
Deze week op te zetten
Vier dingen die je deze week kan regelen, zonder een systeem of budget:
- Schrijf het terugbel-protocol letterlijk op — één zin op een blad naast de kassa of het bureau: "Bij een gewijzigd rekeningnummer: bel het oude nummer terug, nooit het nieuwe."
- Vertel het aan iedereen die met betalingen te maken heeft — ook wie maar af en toe een factuur betaalt tijdens jouw vrije dag.
- Spreek een codewoord of controlevraag af met je vaste leveranciers en je boekhouder voor telefonische wijzigingen — iets wat een gekloonde stem niet zomaar weet.
- Regel een tweede paar ogen voor elke betaling boven een bedrag dat jij belangrijk vindt — ook als dat betekent dat je partner of boekhouder een berichtje krijgt voor je op "versturen" klikt.
Het punt
Een gekloonde stem is overtuigend omdat ze precies is wat ze belooft te zijn: een stem die klopt. Wat niet klopt, is de haast, de vraag om het stil te houden, en het gewijzigde nummer — en die drie zijn te herkennen zonder één woord technische kennis. Eén gewoonte, terugbellen op een nummer dat je al had, stopt bijna elke variant van dit verhaal voor er geld vertrekt.