'Internetfraude kost Belgische bedrijven gemiddeld 94.000 euro'

In België kreeg één op de vijf bedrijven het afgelopen jaar te maken met fraudeurs. Door internetcriminaliteit verliezen ondernemingen gemiddeld 94.000 euro per incident. Dat blijkt uit een studie van adviesbureau BDO België naar de impact van fraude bij Belgische bedrijven.

Ondanks de toenemende digitalisering is hacking niet de populairste methode om fraude te plegen. De klassieke valse factuur blijft door zijn eenvoud de meest gebruikte vorm van oplichting. Van de 245 ondervraagde bedrijven geeft vijftien procent aan de voorbije vijf jaar minstens één valse factuur te hebben betaald. Het afgelopen jaar was zeven procent van de ondernemingen het slachtoffer van deze praktijk. Het verduisteren van bedrijfsactiva staat op nummer twee. Ict-criminaliteit vervolledigt de top drie, maar zit volgens de onderzoekers wel in de lift.

"Deze methode zal in de toekomst alleen maar aan populariteit winnen. Het is voor fraudeurs namelijk een hele kostenefficiënte manier", aldus Stéphane Goddé, Senior Manager Forensic & Litigation Support bij BDO België. Op dit moment bedragen de directe kosten van een fraudegeval door internetcriminaliteit gemiddeld 94.000 euro. Maar de werkelijke kosten liggen volgens Goddé vele malen hoger: "Denk aan een onderbreking van de bedrijfsactiviteiten of een deuk in het bedrijfsimago. Ondernemingen zijn bovendien niet snel geneigd om toe te geven dat ze het slachtoffer werden van dit type fraude. Het schaadt de reputatie van het bedrijf".

In zeventig procent van de vastgestelde fraudegevallen bedraagt het verlies minder dan 100.000 euro. Maar bij zogeheten ceo-fraude, waarbij iemand zich per mail voordoet als de ceo en betalingsopdrachten geeft, lopen de verliezen al gauw op tot 350.000 euro. In twee procent van de gevallen bedraagt de economische schade zelfs meer dan één miljoen euro, zo blijkt uit de studie van BDO België. Toch beschikt amper 24 procent van de bedrijven over een specifiek budget om fraude aan te pakken. Wie dat budget wel opzij zet, gebruikt het vooral om interne audits en it-beveiliging te betalen. Gemiddeld geven Belgische bedrijven elk jaar 60.000 euro uit aan de strijd tegen fraude.

Reacties (51)

[Horatius]

Vraag mij af hoeveel zo een gemiddelde zegt, als je bijvoorbeeld kijkt naar Pathé deze week met 19 miljoen dan trekt zo een geval het gemiddelde compleet scheef. Een andere vorm van meting met misschien een boxplot en mediaan geeft het beter weer.

[adje123]

Het gemiddelde zegt natuurlijk helemaal niks. Ik bedoel, bedrijf A kan voor 1 euro opgelicht zijn en bedrijf B voor 19 miljoen. Gemiddeld hebben bedrijven dan 9,5 miljoen euro schade geleden ;-)

[TheLunatic]

Erger nog: die twee bedrijven hebben gemiddeld 9,5 miljoen euro schade geleden maar over alle bedrijven verdeeld is het een stuk lager. We weten niet of het artikel betrekking heeft op 'alle bedrijven' of op 'alle bedrijven die met fraude te maken hebben' – ik vermoed het tweede.

[Reactie gewijzigd door TheLunatic op 28 juli 2024 19:06]

[Valandin]

Ik blijf het zo bizar vinden dat bedrijven deze spookfacturen betalen. Je hoort het inderdaad steeds vaker.
Kan iemand mij verklaren hoe dit bij zoveel bedrijven gewoon door de molen gaat?
Het lijkt me dat ze dit toch redelijk eenvoudig er uit kunnen filteren..

[Syndroom]

Het kan ook gewoon op de olskool wijze.
Een kennis doet een 1manszaak voor evenementen en had onlangs een vrij groot evenement voor een autoconstructeur.
Hij regelt alle leveranciers e.d.; eindfactuur ~150.000

1manszaak dus in drukke periodes blijft de boekhouding al eens liggen, hij kent de klant ook al wel dus hij weet dat dat wel betaald word als hij uiteindelijk zijn factuur doorstuurt.

Volgend event voor hen polst hij toch eens bij zijn contactpersoon omdat de 150k nog niet voldaan was.
bleek de factuur uit de brievenbus gestolen te zijn, rekeningnr aangepast en opnieuw in de bus gedaan.

Dat dat geld dan ontraceerbaar gemaakt kan worden door wat door te sluizen en af te halen; dat vind ik er frapant aan!

(voor het eind van het verhaaltje nog: schuld lag hier niet bij de 1manszaak maar moest via de verzekering van de autoconstruceur lopen, die moesten gewoon de factuur nogmaals betalen)

[computerjunky]

Tja Mag het natuurlijk niet zeggen maar bitcoin is beter te traceren...

Bizar dat banken internationaal niet verplicht zijn elkaar te assisteren bij dit soort ongein.
Zoals gewoonlijk zijn het weer de banken die crimineel gedrag mogelijk maken en witwassen ondersteunen.

[j1b2c3]

Net of bit coins in de huidige vorm te traceren zijn. Je bedoelt de blockchain principe , banken zijn er mee bezig... Maar vergis je niet in de overhead die blockchains nodig hebben... Kost ook geld

[computerjunky]

Ja hoor je kan ze van wallet tot wallet tracen en tenzij je ze nooit inruilt voor euro's of dollars of wat dan ook weet je precies waar ze zijn.
En aangezien je niet veel kan betalen met coins zelf kunnen ze precies nagaan waar ze blijven.
En ja sommige vormen van de blockchain zoals bitcoin zijn erg inefficiënt maar er zijn ook betere opties (reddcoin).
Je heb altijd online systemen nodig maar hoeveel slurpende servers denk de dat een reguliere bank heeft draaien?

[bl0m5t3r]

Een papieren factuur klinkt wel erg "oldskool", wordt dat daadwerkelijk nog gedaan in B2B situaties? ik zie alleen maar emails heen en weer vliegen met pdfjes er in.

[SMGGM]

Ik werk in de B2B betaalwereld. Een klant van ons (een grote winkelketen) krijgt iedere dag een mail binnen van iemand dat beweert de CEO te zijn van het bedrijf.
Zij hebben strikte regels in het bedrijf om aan te geven om NOOIT vanwege een mailtje te betalen. Daar hebben ze ook de regel om nooit manueel betalingen in te voeren in hun webbanking. Alles moet volgens het proces gebeuren (dus in SAP waar de validaties gebeuren).

Zulke gestructureerde bedrijven zal dit moeilijk voorvallen, maar wij hebben al verhalen binnen gekregen van gebruikers die op vraag van hun CEO of CFO die op buitenlandse reis is (Facebook en Linkedin info) zeer dringend een betaling moeten uitvoeren om een grote deal te sluiten. Uiteraard moet dit geheim gehouden worden want anders kan dit lekken.

Wij hebben controles om deze vorm van fraude (CEO fraude) tegen te gaan en parkeren we betalingen tijdelijk die voldoende aan bepaalde criteria. Deze gebruikers worden dan gecontacteerd en via gerichte vragen proberen we te achterhalen of het CEO fraude is of niet (vaak zijn ze immers overtuigd dat dit hun CEO was en willen ze natuurlijk de deal niet lekken aan ons).

Zo worden er toch een paar per week tegengehouden.
Deze betalingen zoeken is veel moeilijker dan je zou denken hoor. Een groot bedrijf zijn betaalverkeer is complex (hoe de ene betaling naar land x wel goedkeuren maar de andere dan niet) en bij elke verdachte betaling een extra telefoontje plegen is zeer tijdrovend (en duur). Daarnaast hebben we al klachten gehad op deze aanpak omdat een geldige betaling dan te lang geblokkeerd werd (te laat betaald + extra kosten van muntconversie).

BTW, op een drukke dag verwerken wij 3 miljoen betalingen met soms wel duizelingwekkende bedragen van enkele miljarden voor 1 bedrijf.

[Reactie gewijzigd door SMGGM op 28 juli 2024 19:06]

[computerjunky]

Als ik verantwoordelijk zou zijn voor die overboeking dan had die CEO me gewoon even kunnen beeldbellen zodat ik dat op kon nemen.

ill cover my own ass before the boss his ass!

[SunnieNL]

Omdat de financiele afdeling vaak niet weet wat de marketingafdeling doet.
Als jij een nepfactuur stuurt met daarop een logo van een krant met advertentiekosten met een bedrag van rond de 2000 euro, wordt dat in veel gevallen gewoon overgemaakt. De doorbelasting (als die er al is) komt pas later.

[Trekfolie]

Ik werk in een relatief klein bedrijf met ongeveer 2000 facturen per jaar maar al onze facturen worden geaccordeerd door de budgethouders. Ik werk op de financiële afdeling en ik kan niks betalen zonder dat de budgethouder van de marketing akkoord heeft gegeven voor betaling.
Het zal bij ons dus niet (snel) voorkomen dat er een factuur doorheen glipt. Ik ben dan ook veel banger voor informatiediefstal door medewerkers die laks zijn met hun wachtwoordbeheer.

[darknessblade]

hoeveel % van de werknemers gebruikt dan nog een simpel wachtwoord zoals:
1234

[Trekfolie]

Volgens mij gaat het intern ondertussen wel redelijk goed, mede doordat ik dit soort berichten regelmatig onder de neus duw van collegas.
Echter is 1 van onze partners onlangs langs geweest (deze zijn vrij onlangs nog in het nieuws geweest omtrent een data breach) om een nieuw systeem uit te leggen. Hierbij vertelde ze ons wachtwoord en het stramien wat ze hiervoor gebruiken, ook bij hun andere klanten. Dit zodat het voor hun makkelijk mee te kijken was in de opstartfase en ze drukte dan ook met klem erop dit wachtwoord niet te veranderen.

Ik heb ditzelfde stramien toegepast bij andere bedrijven die van hetzelfde systeem gebruik maken en ja hoor, het was voor mij mogelijk om in hun systemen te komen. Uiteraard heb ik ons wachtwoord dan ook direct aangepast.

Deze partner is wereldwijd marktleider in hetgeen wat ze doen en het was echt schokkend hoe belabberd ze met hun security omgaan, zeker nadat ze onlangs nog in het nieuws zijn geweest omdat er creditcard-gegevens op straat lagen.

[darknessblade]

wel grappig, ja ons admin ww kan je niet veranderen, hiermee kunnen wij tijdens de opstart meekijken en het ww is: ABCDefgh1234!@#$ ja dat is nog eens leuk.

zeer simpel ww en dan niet eens te wijzigen.

kan je net zo goed zeggen doe dan maar geen ww

[hylke45]

Daarom heb je ook gewoon een goed ERP systeem nodig en volledig workflow gestuurd gaan werken.
Vele malen minder fouten die gemaakt worden en bovendien kan je erg veel automatiseren wat weer tijdswinst oplevert.
Daarnaast zitten er in sommige systemen ook mogelijkheden om fraudegevoelige checks te doen. Denk aan het hebben van een crediteur met dezelfde bankrekening als een medewerker.

[adje123]

Dat is dus echt niet waar. Dat is waar veel mensen vanuit gaan, maar werkelijkheid is anders.

De financiele afdeling wordt altijd gewoon netjes meegenomen met offerte trajecten en facturaties.

Ik werk extern bij opdrachtgevers en mijn uren moet ik altijd in 2 systemen registreren voordat mijn factuur betaald wordt.

[adje123]

Goed lezen wat ik zeg en waar ik op reageer voordat je met "fake nieuws" aankomt.

[Alxndr]

het artikel zegt dat op basis van onderzoek 1 op de vijf bedrijven met fraude te maken heeft en dat 15% een valse factuur betaald heeft.

De reactie waar jij op reageert geeft een mogelijke en zeer voor de hand liggende mogelijke oorzaak en jou reactie is dan:

"De financiele afdeling wordt altijd gewoon netjes meegenomen met offerte trajecten en facturaties."
en
"Ik werk extern bij opdrachtgevers en mijn uren moet ik altijd in 2 systemen registreren"

Jouw persoonlijke ervaring bij 1 bedrijf zegt niets over andere personen en andere bedrijven, maar je suggereert wel dat, omdat het bij jou niet gebeurt, het bij anderen ook niet kan gebeuren/gebeurt.

[jaenster]

Alles draait om aannames die niet gemaakt moeten worden.

[AntiSocial]

En afhankelijk van hoe de factuur/aanmaning wordt opgezet, de menselijke aard om gezichtsverlies te voorkomen. Ofwel "ik ga niet degene zijn die een aanmaning te laat heeft betaald". Of een doorgeslagen verdienstelijkheid "shit, we zijn te laat met betalen. Niet netjes! Dit ga ik snel fixen want wij zijn geen bedrijf dat zo zaken doet!". Social engineering is fascinerend

[jaenster]

Social engineering is fascinerend

En dat van de user die zich AntiSocial noemt

Maar ja, ik ben het met je eens. Erg fascinerend, maar in de basis is het altijd een aannamen

[AntiSocial]

Ik ben tegen de sociale component als risicofactor...ofzo...? My best defense

[adje123]

Kan ook iemand intern zijn die er baat bij heeft dat de nepfacturen betaald worden. Denk aan mensen die vatbaar zijn voor chantage etc. Er kan zoveel aan de hand zijn dat het grappige vormen begint aan te nemen.

[Verwijderd]

O.a. zo gebeurt het dat ze ruim 19 miljoen naar de verkeerde overschrijven:
https://www.ad.nl/binnenl...aas-vraagt-punt~a1e6e319/

[Iblies]

Voor mij is en blijft het me een raadsel dat iemand blijkbaar dergelijke bedragen kan overmaken zonder dubbelcheck.


Bedrijven waar ik langs ga hebben we een riks bekende iban-nrs van bekende afnemers. Tot een bedrag x kan daar worden overgemaakt.
Afwijkende leveranciers/aannemers worden dubbel gechekt op zowel factuur als nr.

Zelfs overige posten worden periodiek gecontroleerd waar het allemaal naar toe gaat.

[CivLord]

Hier was iets anders aan de hand dan een spookfactuur. Bij Pathé was er sprake van een spook CEO (daarvandaan ook de naam CEO-fraude).
Wanneer criminelen toegang weten te krijgen tot de mailserver van een bedrijf, kunnen ze intern emails versturen die van echte medewerkers afkomstig lijken. Zo kunnen ze een mail sturen namens een CEO (of ander hoge pief die zie zo snel in twijfel getrokken wordt) die de financiële afdeling een opdracht geeft om i.v.m. een overname of andere zeer belangrijke transactie met spoed een bepaald bedrag over te maken naar een bepaald rekeningnummer. Daar kan nog extra bij benadrukt worden dat het nog even stil gehouden moet worden, omdat maar een beperkt aantal bestuurders van deze transactie af weten.
Die geheimhouding maakt het al lastig om de betaling bij anderen te controleren. En door de toegang tot alle interne mails, kunnen ze de juiste 'bullebak' uitkiezen om zgn. deze opdracht te laten geven, die geen tegenspraak duldt.

Dan moet er al een systeem zijn dat juist dit soort situaties moet voorkomen, dat verplicht altijd bevestiging te vragen bij een opdracht per email, of de instructie om een opdracht per email altijd, zonder uitzondering, te weigeren. Dan hoeft de ontvanger op de financiële afdeling nooit te twijfelen, maar wordt het altijd door de interne regels gesteund wanneer hij weigert iets te doen.

[FilipSP]

Wat nog een veel groter raadsel is dat iemand die de bevoegdheid heeft om dergelijke bedragen over te schrijven daar niet wat kritischer naar kijkt. De hoogste bazen van een bedrijf met een omzet van 200 mln. waren om de tuin te leiden met wat valse handtekeningen om 10% van de jaaromzet over te maken.
Alsof betalingstermijnen, bankgaranties en vertrouwelijkheid (ook in de bankrelatie) in die kringen niet doodgewoon zijn.

Overigens zijn ze wel direct ontslagen, waar ik dan wel begrip voor kan opbrengen.

[cadsite]

Inderdaad.
Hier wordt elke factuur bekeken door de aankoopdienst.
Pas als zij er een dossier aan koppelen en goedkeuren wordt de factuur betaald. Lijkt me de logica zelve...

[CivLord]

Dan stuur je een factuur voor een geplaatste advertentie naar de marketing afdeling. Wanneer ze daar de boel niet goed op orde hebben (of denken dat het de rekening is voor een bepaalde opdracht) dan sturen zij de factuur met alle benodigde stempels, nummers, etc. door naar de financiële administratie.
Natuurlijk zal zo'n factuur in de meeste gevallen bij het oud papier belanden omdat niemand de opdracht herkent. maar wanneer één van de 100 verstuurde facturen betaald wordt, dan is dat voor de oplichter leuk verdiend. (En ik vrees dat het percentage successen veel groter is.)

[Tjidde]

Stuur maar eens een factuur naar een grote organisatie. Zolang het niet een te gekke rekening is betalen ze bijna altijd het is vaak duurder om uit te zoeken van wie die rekening is dan het betalen.

[adje123]

Ajoh, dit gebeurt alleen elders anders...., on nee wacht.... Pathe....

Het wordt ook steeds moeilijker om echt van nep te onderscheiden. Ik heb vanochtend een mail gehad van "bol.com". Dat is een bon gewonnen had, het zag er allemaal levensecht uit..., behalve het mailadres.

[kuurtjes]

Als jij kan definiëren wat er echt uit lijkt, kun je ervan uitgaan dat iemand dat evengoed kan namaken.

[lighting_]

Zo echt dat outlook dat niet eens detecteerde

[wica]

Jammer genoeg denken meer mensen dit, het systeem beschermd mij wel en het verstand op nul.

[cadsite]

Inderdaad, een minimum aan eigen denken is nog steeds vereist.
Er zijn er zelfs die denken dat een browser een goed werkende grammatica controle heeft.
Pech onderweg.

[thescorpi0n]

Outlook heeft sowieso een waardeloze spamfilter naar mijn ervaring. Heb regelmatig dat legit mail wordt tegengehouden, maar krijg ook nog vaak genoeg spam wel gewoon in m'n inbox. Bij mijn gmail account heb ik daar veel minder last van.

[Verwijderd]

Ze hopen erop dat mensen in de gauwigheid er niet zo op letten, maar het ‘probleem’ speelt al jaren. Ik zelf krijg ze ook, van die “echte” mails van allerhande bedrijven en instanties zoals Google, Facebook, Bank of America/Scotland/weet-ik-het van financiele instantie.

Leuke bijkomstigheid is: ik heb daar niks lopen, dus ik “hoef” geen actie of wat dan ook te ondernemen, maar er zullen genoeg mensen zijn die daar wel wat hebben lopen en dan slaat de paniek toe en kunnen criminelen hun slag slaan en dan maakt het niet uit of het nu om geld gaat of naaktfoto’s vanuit de Icloud, het principe en werkwijze blijven hetzelfde . . .

[Loggedinasroot]

Het emailadres is ook gewoon te spoofen.

[RVervuurt]

Waarom is dit niet aan bod gekomen op Tweakers: Nederlandse directie Pathé voor 19 miljoen euro opgelicht met valse e-mails

Gezien dit artikel ook gaat om valse facturen (en niet zozeer internetoplichting), kan bovenstaande ook wel genoemd worden toch? Ze hebben oa. emailadressen gespoofd.

[Reactie gewijzigd door RVervuurt op 28 juli 2024 19:06]

[Verwijderd]

Niet echt spoofen, maar verzonnen. De domeinnaam was iets anders dacht ik. Soms doen ze er maar 1 letter verschil erin. Een voorbeeld daarvan is dat ze een r voor een m zetten, soms lees je daar overheen, rm ziet er soms nog steeds een beetje uit als één m.

Maar een mooi voorbeeld is Pathe inderdaad. Mijn mond viel open van verbazing.

[Reactie gewijzigd door Verwijderd op 28 juli 2024 19:06]

[Ron!n]

Ik vond deze uitspraak van de rechtbank erg interessant, hier staan veel details over deze zaak:
https://uitspraken.rechts...d=ECLI:NL:RBAMS:2018:7881

Dit geding ging over het al dan niet rechtmatig ontslaan van de directeur.

[0xygen500]

94.000 per incident gemiddeld. Hoog gemiddelde, maar als je naar Nederland kijkt heb je ook van die uitschieters zoals de pathé

[Qlusivenl]

Als ik bedenk hoeveel aandacht hieraan wordt besteed om het tegen te gaan, vind ik 1 op 5 echt gigantisch veel. Wellicht dat er minder aandacht aan wordt besteed in Belgie, maar onze landgrens lijkt me niet de grens voor dit soort informatie.

In veel gevallen zijn het de normale medewerker die van toeten nog blazen weet. Maar dat CEO's zich zo laten oplichten, dat is echt te triest voor woorden. Hoelang maakt IT nou al deel uit van het bedrijfsleven en hoelang bestaat er al oplichting.

Als voorbeeld de Pathe (wel dan in NL). Ze vonden de aanvraag om geld over te maken wel vreemd, maar stellen verder geen vragen... Dan ben je gewoon capabel om directeur en verantwoordelijk voor miljoenen te zijn.

[David Mulder]

94000 per incident, maar "maar" 6580 euro per bedrijf per jaar. Moet zeggen dat ik de titel redelijk... misleidend vond.

[Rob Coops]

Ach, zo lang bedrijven zo laks zijn dat ze niet even de moeite nemen te controleren bij de CEO of hij/zijn echt de bedoeling heeft een bedrag boven de vast gestelde limit over te maken naar rekening nummer XYZ dan is het ook gewoon hun eigen schuld als ze op eens een miljoen of meer verliezen dankzij fraude.

Een andere belangrijke stap is een lijst aan maken met goedgekeurde leveranciers, staat de leverancier niet op deze lijst dan kan er geen zaken met deze leverancier gedaan worden. Dat maakt het betalen een stuk minder risico vol, het maakt het voor de mensen intern een stuk makkelijker om te bepalen of ze wel of geen zaken kunnen doen met een extern bedrijf en ju kunt een goed process opzetten rond het toevoegen van nieuwe leveranciers etc... ook hier kun je per leverancier limieten instellen waar weer goedkeuring nodig is als een factuur of de totale uitgaven per maand hoger is dan een bepaald "normaal" bedrag.

Alle emails die van buiten de organisatie komen dienen als zodanig gemarkeerd te worden, zo dat de ontvanger meteen kan zien als iemand van buiten de organisatie zich voordoet als de CEO bijvoorbeeld.

Er zijn een heleboel andere methode die een stuk duurder en complexer kunnen zijn maar deze simpele oplossingen zijn erg kosten effectief en simpel om te implementeren binnen alle bedrijven, het is dood eenvoudig om te controleren en bij te houden.

Natuurlijk kun je niet alles voorkomen maar je kunt wel een heleboel tegenhouden dat nu bij veel bedrijven simpel weg nog steeds misgaat omdat men de simpele regels niet in acht neemt.

[R.Evil]

Best veel

[Reactie gewijzigd door R.Evil op 28 juli 2024 19:06]

[BigLeBluffski]

Boeien, Belgische bedrijven ZIJN frauduleus, en de grootste fraudeurs schuilen zich nu eenmaal achter een bedrijfsnaam, je krijgt wat je verdiend. Ze hebben nog de ballen om te gaan klagen in de media, hypokrieten.

[Reactie gewijzigd door BigLeBluffski op 28 juli 2024 19:06]