Nederlandse gemeente maakt 93.000 euro over bij nepfactuur

De Nederlandse gemeente Helmond heeft in september 93.000 euro overgemaakt aan een fraudeur. Dat was mogelijk doordat een medewerker geen onraad rook toen de 'leverancier' vroeg om het geld over te maken op een ander rekeningnummer dan gebruikelijk.

Bovendien had de ambtenaar de factuur niet voorgelegd aan een collega, iets dat het 'vierogenprincipe' heet, meldt NU.nl. De fraudeur had gegevens van een legitieme leverancier met de juiste factuur- en contractgegevens. Die waren verkregen via phishing. De gemeente doet aangifte en gaat proberen via de bank het geld terug te krijgen. Ook komt er onderzoek om dit soort fouten in de toekomst te voorkomen.

Reacties (135)

[galanos]

kijk en dit is niet eens het prille aan deze actie.

Als de factuur namelijk legitiem was en alleen het rekeningnr anders dan zal de oorspronkelijke leverancier ook nog om 93.000 euro vragen van de gemeente.

dit soort fraudezaken zijn heel bekend, alleen wordt de betalende partij opgezadeld met alle risico's. Neem de zaak van bol.com en brabantia, brabantia mdw mailbox gehacked, bol.com maakt bedrag over naar nieuw rekening, weg geld. Bol.com moest daarna ook brabantia nog betalen. Bol.com verloor de rechtzaak omdat zij beter hadden moeten controleren.

wellicht is er een 2factor betaaldienst, zodat beide partijen de juiste code moeten invullen voordat het bedrag wordt overgeschreven.

[Reactie gewijzigd door galanos op 25 november 2024 17:58]

[ABD]

Dat is wel heel makkelijk gedacht. Er is een heel simpele failsafe mogelijk. Ten eerste maakt een medewerker een crediteur aan na de gegevens zorgvuldig nagekeken te hebben. De supervisor/manager checkt dit en laat de crediteur locken in het erp-systeem. Zo kunnen administrief medewerkers geen andere bankrekeningen gebruiken om betalingen te doen; het erp-systeem zou het niet eens toe moeten laten. Daarnaast zouden administratief medewerkers facturen in moeten kloppen waarna de supervisor dit controleert; daarna vindt de daadwerkelijke betaling pas plaats.

[Reactie gewijzigd door ABD op 25 november 2024 20:33]

[dengregg]

twintig jaar geleden werkte ik zo al met een systeem dat voor de volledige procedure je 4-5 man nodig had om tot betaling over te gaan. 1e persoon maakt firma aan in systeem (of in dit geval wijzigd bankrekeningnummer), 2e persoon boekt factuur in, 3e persoon keurt deze factuur goed en zet klaar voor betaling, 4e persoon controleerd betalingen en tekent deze in isabel (5e persoon is dan 2e handtekening voor betaling, niet nodig indien CFO zelf had getekend). Dit systeem heeft als voordeel dat alles vele malen gecontroleerd wordt, en interne fraude heel moeilijk wordt.

En dan komt er iemand als mij om een achterstand weg te werken in een ander systeem van de boekhouding, en omdat dit sneller gedaan is wordt deze ingeschakeld om overal wat mee te helpen, en eindigd na een half jaar met toegangsrechten tot al die systemen die normaal een ander persoon vereisen (met uitzondering van de betalingen tekenen). En vervolgens blijven die rechten behouden omdat het gewoon gemakkelijker is om zo iemand te hebben die alles wel even kan regelen... (tot er natuurlijk na een paar jaar een audit hierop valt)

[noway]

Echt 5 personen? geen wonder dat alles duur is.
Je kan toch de bedrijf of iemand waar jij mee bekent ben { van dat bedrijf} bellen en vragen of het klopt?

[dengregg]

maar je wilt liefst dat het iemand anders is dan de persoon die de facturen inboekt. Dit om te voorkomen dat externe druk, of interne fraude, ervoor zorgt dat de controle minder is.

De goedkeuring van de ingeboekte facturen is normaal vrij snel en is voornamelijk om kleine foutjes op te sporen. Op deze plek werden de facturen niet meer terug langs de aankopers gestuurd voor goedkeuring, wat tegenwoordig standaard is en dit kan vervangen.

Betalingen werden eens klaargezet uitgevoerd door thesaurie, maar deze kunnen dan weer zelf geen betalingen naar externen klaarzetten, enkel goedkeuren. Hier werd dan wel een extra controle gedaan bij abnormale betalingen. Even 93000 Euro naar een nieuwe leverancier zou hier bijvoorbeeld tegengehouden worden tot ze de factuur gezien hebben, de PO en de controle van de rekeningnummers.

Dit was trouwens bij een grote non profit organisatie, en het voorkomen van mogelijke fraude was hier heel belangrijk. 1 voorval van een boekhouder die geld op zijn eigen rekening zet kan daar voor jaren lang een grote vermindering van de giften met zich mee brengen bijvoorbeeld. Naast dit alles was er ook nog eens jaarlijks een bezoek van bedrijfsrevisoren om de boekhouding nog eens extra te controleren, en een jaarlijks bezoek van auditoren om de werkingsprocessen van de verwerking van de middelen te controleren.

Gelegenheid maakt de dief zegt men, en als er grote bedragen rond gaan dan hoeft het maar een kleine gelegenheid te zijn om iemand te verleiden.

[noway]

Als het om een groot bedrag dan bel je toch.... alleen maar om te checken of de rekening nummer is gewijzigd of niet dan.lullig bedragje snap ik dat de controle minder is maar dit soort bedragen ga je bellen.hoe vaak komt het niet in het nieuws over deze scams? Meer als 90k? Dan check je.dit is nalatigheid

[dengregg]

de vraag is natuurlijk of dit binnen de dienst een groot bedrag is. Voor 2024 heeft deze gemeente bijvoorbeeld voor 25.486.000 Euro aan investeringen binnen 1 werkjaar in zijn begroting staan, en voor meerjarige investeringen is in datzelfde jaar hierboven nog eens 38.113.000 Euro voorzien. Ik kan me inbeelden dat hierbinnen facturen van 93.000 Euro niet echt iets speciaals zijn.

[MSalters]

Ja, dat kan. En dan heb je dus regelmatig dit probleem met slordige medewerkers.

De norm is niet voor niets 4 ogen.

[Zwolsermbtr]

In het artikel staat dat het om phishing gaat. Waarschijnlijk had de fraudeur dus toegang tot een e-mailaccount van de leverancier. Dan lijkt het best legitiem. Geen idee hoe finance-afdelingen een rekeningnummer wijziging oppakken, maar ik kan me zo voorstellen dat daar niet altijd een telefoontje voor wordt gepleegd. Vooral als de e-mail dus van de leverancier lijkt te komen.

[Jorah_Newstone]

Tja wat is dan duurder? Dat je zomaar een ton kan overmaken of dat je probeert alle mogelijke gaten te dichten? De gebruiker is nog altijd de zwakste schakel, 5 zwakke gebruikers maakt nog steeds een goede schakel. De kans dat 5 mensen dezelfde fout maken is een stuk kleiner dan 2 personen.

[noway]

Ik heb daar toch echt een andere gedachte over.
Ik vind het nalatigheid en erg naïef.
Als er 1 van de brug springt volg jij dan ook?

1 telefonisch contact en je weet het.
4 man extra in dienst nemen met schapen gedrag....succes

[keverjeroen]

Dus maar 1 persoon die het rekeningnummer controleert. Persoon 2 tm 5 doet dat echt niet meer.

[BCC]

Haha, dit had ik ook bij een bedrijf waar ik werkte, 100+ toeleveranciers en de CEO moest alle rekeningnummer wijzigingen akkoorderen in het financieel pakket, hoe gaat dat dan? CEO opent de lijst, kijkt een keer moeilijk... het zal wel kloppen! klik ok ok ok ok ok ok ok ok ok ok, klaar!

[Sinester]

Ik snap dat dit soms nodig is, maar ik wordt echt gek van deze zaken

Wil iets (simpels) bestellen wat gebruikers nodig hebben en dan weken en soms maanden later is het nog steeds niet besteld omdat het in een soort process vast zit dat eerst door meerdere mensen getekend moet worden.

En die mensen krijgen niet de zeurende mensen over de vloer dat het nog steeds niet besteld is en dat ze zelf net zo goed naar de Mediamarkt hadden kunnen rijden

[BarnET]

Je kan ook gewoon kneuzen ontslaan die lukraak 93000 euro overmaken zonder de factuur goed te checken. En zich niet aan de procedures houden.

Het bedrijfsleven zou daar geen enkel probleem mee hebben. Maarja we hebben het hier over overheid……..

[Tweakersfan1337]

Ontslaan om dit ene incident kan vaak niet. Aan de ene kant omdat het om een enkel incident gaat en aan de andere kant omdat de organisatie een betere procedure moet hebben.

Beter kan je bedenken dat deze medewerker deze fout nooit meer zal maken en zeer gemotiveerd is om het beter te doen. Gewoon in dienst houden dus.

Het wijzigen van stamgegevens moet alleen mogelijk zijn met controles (know your customer) en akkoord van een andere medewerker.

[BarnET]

Ze heeft de procedure niet gevolgd.
Ze had de factuur moeten laten dubbelchecken naast dat er minimaal 2 red flags waren die ze over het hoofd had gezien.

Dus minimaal 3 grote fouten waardoor dit kon gebeuren.

Gewoon wegtrappen op staande voet en rechtszaak tegemoet zien.

[Tweakersfan1337]

Point taken, ik zie nu in de brief van Helmond dat er wel een procedure is, maar niet is gevolgd. Dat is een serieuze zaak.

Toch denk ik nog steeds dat ontslaan weinig oplost voor de gemeente. En zeker niet voor de medewerker. Als deze medewerker verder (wel) goed functioneert, zou ik nog steeds overwegen om hem/haar in dienst te houden.

Daarnaast kan de procedure kennelijk omzeild worden? Dan vraag je best veel van een financieel medewerker die als taak heeft betalingen in te voeren en waarschijnlijk niet veel meer dan modaal verdiend. De verantwoordelijkheid ligt dan wat mij betreft nog steeds bij de gemeente die dit niet waterdicht heeft (wat echt niet moeilijk is).

[Reactie gewijzigd door Tweakersfan1337 op 26 november 2024 11:56]

[BarnET]

Ze heeft 93k naar een fraudeur gestuurd omdat ze procedures niet volgde en totaal onoplettend heeft gehandeld.

In welk boek is dat goed functioneren? Omdat ze wellicht daarnaast goed koffie kon zetten?

Sorry maar dat is de definitie van niet functioneren.

Wedden dat als het haar eigen geld was dat ze een stuk zorgvuldiger was geweest.

[Reactie gewijzigd door BarnET op 26 november 2024 12:05]

[TomDZ1979]

Ondertussen is een deel misschien haar geld geworden!

[BarnET]

Het zou kunnen maar daar is geen bewijs voor.

[Sinester]

Niet alles is zo zwart en wit in het leven

Wellicht functioneert ze al jaren prima, en nu na een slechte dag deze blunder gemaakt

Dit gaat echt geen rechtzaak worden, en de kans dat ze ontslagen wordt is mits ze normaal wel goed functioneerd zeer klein.. dit is geen Amerika

[Reactie gewijzigd door Sinester op 27 november 2024 09:49]

[mphilipp]

Er wordt iets te gemakkelijk geroepen dat die persoon de procedure niet heeft gevolgd. Dergelijke procedures moeten full-proof zijn. Want als het systeem jou toestaat het gewoon te doen, is het niet veilig. Het moet zodanig zijn ingericht dat twee medewerkers wordt gevraagd ergens akkoord op te geven.

Bij mijn werkgever worden we ook door zo'n beveilugd systeem gevraagd een electronische handtekening te zetten onder bv een bruikleen overeenkomst oid. Dan moet je ingelogd zijn en dan een vinkje zetten. Zo kun je dat ook met wijzigingen in het betaalproces doen. Zo zorg je ervoor dat de mensen echt hun controle uitvoeren. En natuurlijk moet de manier waarop de leverancier dergelijke wijzigingen aanlevert tegen het licht worden gehouden. Nooit via de telefoon bijvoorbeeld.

In ieder geval moet het zodanig worden ingericht dat de medewerkers gedwongen worden het goed te doen.

[BarnET]

Dat geld alleen voor grotere bedrijven of grotere instellingen met veel werknemers met gespecialiseerde afdelingen.

In het MKB kan je z’n structuur vergeten. Daarnaast veel grotere kans dat je directe lijnen hebt. Die dan betrouwbaar zijn. Je hebt immers namen en rugnummers.

[Sircuri]

Toch bijzonder dat ik in mijn Rabo app gewoon zie staan "Naam en rekening gecontroleerd". Dat moet toch voor bedrijven ook kunnen?

[tweazer]

Zolang je enkel naam en rekening contoleert voorkom je enkel tiepfouten. Kwaadwillenden kunnen een naam zo op een ander rekeningnummer plakken ... Jammer dat plaats- en straatnaam niet te controleren zijn ...

[joost00719]

Of voor bedrijven gewoon KvK-nummer? Daar kun je niet omheen.

[Pingewin]

Daar heeft de bank ook een verplichting. Ik kan geen bank rekening openen op iedere naam die ik wil, ik moet me identificeren. Als je voor je bedrijf een rekening wilt openen moet je ook aardig wat papier aanleveren. Dus een bankrekening openen op naam van 'IT Super Services BV' terwijl dat je bedrijf niet is zou niet moeten kunnen. En de bank hoort wel de naam + rekening te controleren.

Als dat niet gebeurd is kan de gemeente proberen een deel van de schade op de bank te verhalen.

[tweazer]

Welkom bij de EU, in Litouwen of Hongarije is snel wat te regelen ...De bank is geen speler in deze, diegene die het geld overnaakt weet wat 'ie wiil ...

[Reactie gewijzigd door tweazer op 26 november 2024 18:49]

[logix147]

Waarom is er nog een proces nodig als het oorspronkelijke proces al niet gevolgd wordt.

4 ogen principe betekent dat de verantwoordelijke dit had moeten checken bij een collega. Als men dit simpel overslaat bij een nieuw rekeningnummer dan helpt zo’n 2FA nummer ook niet.

Probleem zit in deze gewoon dat men de regels niet volgt. Je gaat me niet vertellen dat je als betalingsverwerker dagelijks van je vaste leveranciers tig rekeningnummers moet aanpassen.

Gevalletje (z)duur leergeld wat beter uitgegeven had kunnen worden aan preventie.

Dit kan je gewoon laten doen door een bedrijf en daaruit volgt dan (vaak) training.

[willieverhoef]

Ook bij 4 ogen kun je erin trappen, daar wordt alleen gekeken is deze leverancier bekend? En is het bedrag juist. Beide zijn met ja beantwoord. Het factuur boeken is fout gegaan omdat er bijv een stikker let op ander rekeningnummer op zat of zo ? Het probleem is inderdaad dat er bij een rekening nummer weinig controle is. Geen kvk alleen een naam. En bij een opdracht bestand wordt ook nog een gedeelte noet gecontroleerd. Of nog erger, de naam was goed. Omdat hij ook Jansen heet.

[logix147]

De NOS geeft een iets gedetailleerde versie en daar benoemd men: afwijkend e-mail adres van de bekende partij waarmee men zaken doet. Afwijkend rekening nummer op die toegevoegde factuur.

Als je dan het 4 ogen principe had toegepast, was de conclusie dat hier door 2 alarmerende factoren niet actie betalen: maar contacteren zou zijn geweest.

Gemeente Helmond is ook zeer open richting het feit : volledige bron is hier te vinden.

https://helmond.notubiz.n...17&connection_id=11199638

Dat de gemeente dit zo open bespreekt betekent enkel dat er dus sprake is van een goed protocol.

Zolang je als betalende partij niet eens de moeite neemt om bij dit soort bedragen gewoon even te bellen; Hey leverancier X klopt het dat jij facturen stuurt van dit mailadres en met dit nummer.

Zo’n beetje elk bedrijf dat een factuur van 93.000 euro kan opmaken heeft een frontoffice medewerker zitten die dat in 30 seconden had ontkracht.

Ikzelf heb ook met CEO fraude te maken gehad en onder druk ineens geld moeten overmaken, tot ik mezelf bedacht: dit zou normaliter niet over onze interne chat gaan en wat bleek dat een telefoon met ingelogde gegevens niet door een IT partij correct was afgedaan. Via die telefoon was inloggen nog mogelijk en toevallig was het iemand die veel geld kon overmaken.

Ik heb uiteindelijk onze interne beveiliging gebeld, want dit voelde niet lekker. Zo’n gevoel zou in mijn ogen wel vaker opgevolgd mogen worden en niet vervangen door tijdsdruk/stress redenen even niet belangrijk. Wij hadden geen check dit bij een collega plan destijds in 2015 en ik was toch al wel ingelogd in ons betalingssysteem.

Dit hoort ook bij goed werkgeverschap dat je awareness creëert onder je mensen, die soms dingen niet zien/linken.

Postits op beeldschermen, toetsenborden, muizen, batterij kleppen… ik ben inmiddels op genoeg bedrijven geweest om binnen een half uur wel ergens een geschreven wachtwoord vandaan te krijgen. Dan schrikt men, want ik ben vreemd. Vervolgens krijgt men op maat preventie training en hopelijk slaagt men daarna wel.

Voor dit soort bedragen kan je heel wat trainingen afnemen.

[Nox]

Met een afwijkend emailadres en rekeningnummer zou je toch echt een stuk software ernaar kunnen laten kijken. Het zijn gewoon anomaliën die je aantreft. Facturen kunnen elektronisch gelezen worden waarbij na 100 facturen vanaf emailadres X en rekeningnummer Y het opeens opvalt. Ik zou het niet eens enkel en alleen door mensen laten doen. Ook die worden soms wat minder scherp, ik zou zelf - het is mijn werk niet - vooral heel snel alles goedkeuren omdat het al tig jaar goed gaat. Ik ga geen rekeningnummers uit mijn hoofd leren om te kijken of een betaling oke is. ALs het kloppend lijkt dan gaat het door.

[logix147]

Dan komt het wel wederom op budget aan, als dat er niet is... voor training, dan zou het er wel zijn voor dit soort systemen, die vallen niet gratis uit de lucht en Loes van de administratie is toch goedkoper dan Software partij X elk jaar XXXX euro betalen voor 'onderhoud'.

Dit onder motto: we kunnen dit prima zelf tot we tegen een lamp lopen en de lamp valt kapot. Dit is duur leergeld, maar imho kan je dit niet op elk bedrijf toepassen. Ja dit zou schalen bij een gemeente als Helmond, lijkt me dat er genoeg mensen werken.

Dit schaalt weer niet op ons huidige kantoor, want hier werkt nog geen 10 man en wordt de administratie financieel gezien door 2 man gedaan en een derde checkt even of alles klopt alvorens het de deur uitgaat. Dat kost mij toch maandelijks een uurtje of 2 - al zou ik vol tarief rekenen, dan red ik het niet met zo'n fancy oplossing, terwijl ik voor vol tarief van 2 uur wel zzp-er kan trainen. Het is net in welk licht je dit bekijkt.

Maar training/kennis is altijd beter dan alles oplossen in software. Het is leuk dat een AI alles weet, maar hoe weet jij welke AI er gelijk heeft. Dat bedoel ik met eigen kennis vergaren.

[Nox]

Het is noodzaak zo'n AI / algoritme te laten flaggen op anomaliën. En dat zou prima op een prijs per factuur basis kunnen... Die flags kan je dan als mens goed- of afkeuren.

[Reactie gewijzigd door Nox op 26 november 2024 23:19]

[logix147]

ik kan die AI ook door m’n GPU model laten trekken, die snapt ook vragen van wat heb ik deze maand aan boodschappen betaald als je kijkt naar (insert alle supermarkten). Ik krijg dan braaf antwoord dus als ik een oude factuur en nieuwe zou vergelijken gok ik dat die dit wel ziet.

ik zou dit zakelijk toch niet zo inzetten. Ik ben niet bekend met dit soort pay as you use concepten in deze techniek. Wel als consultant of jaarlijks… maar dat is niet in verhouding voor kleinere bedrijven.

[MarcMK2]

Ik heb uiteindelijk onze interne beveiliging gebeld, want dit voelde niet lekker. Zo’n gevoel zou in mijn ogen wel vaker opgevolgd mogen worden en niet vervangen door tijdsdruk/stress redenen even niet belangrijk.

Ik heb liever dat er 100 keer een false positive gemeld wordt dan dat ik 1x recovery moet doen. (ookal is recovery een heel stuk leuker)

[Powerblast]

Er wordt inderdaad wel gemakkelijk geroepen van hoe kun je daar nu intrappen, maar de omstandigheden moeten maar net allemaal tegenzitten (of goed zitten vanuit wie zijn perspectief je het bekijkt...) en je hebt prijs. Misschien was er wel een collega maar was die net op vakantie, dus uitzondering want anders zijn we nog meer te laat.. enzovoort. Ook daar geldt dan weer dat je procedure moet voorzien zijn op die situaties natuurlijk.

[Krommetenen]

Bij 4 ogen: “ah een nieuw rek nummer? We bellen even of dat wel klopt. Nee nee met het telefoonnummer in ons administratie, niet dat op het factuur / bijgeschreven brief”.

Geen processen of systemen. Common sense en ervaring.

Gewoon flink balen als je net een momentje had waarbij je even niet gefocust was en geen collega in de buurt.

Ja, daarbij zijn er kostbare safeguards te koop en kennis met ervaring te delen.

[BarnET]

Denk dat het gros van de mensen er met 2 ogen en dit bedrag hier niet in zouden trappen.

Email adres komt niet overeen. Dat is voor mij altijd de eerste check en dan verdwijnt de factuur per direct in de prullenbak.

Rekening nummer is de 2de check. Dan het bedrag op factuur.

Het gaat hier niet om de procedure maar om de persoon die de fout gemaakt heeft. Die moet maar weer gaan schoonmaken ofzo.

[Tweakersfan1337]

En als je ‘out-of-bound’ de leverancier wil bellen om te controleren, gebruik dan niet het telefoonnummer op de sticker of in de mail. Het is echt voorgekomen dat een medewerker heeft gebeld….. en de oplichter aan de lijn kreeg die heel beleefd bevestigde dat de wijziging klopt en zelf een compliment maakt voor de zorgvuldige procedure

[Powerblast]

Tja die tweede collega kan ook nog alsnog beslissen van doe maar, zal wel juist zijn. Het verkleint de kans, maar maakt het zeker niet nul. Goeie procedures mogelijk wel. Als ze bijkomend ook nog een keer de telefoonnummer wijzigen op de factuur kunnen ze ook controle telefoontjes onderscheppen enz… 2fa op betalingen vind ik precies zoeen slecht plan nog niet. Beetje hetzelfde als ssl certificaat of iets dergelijks waarbij de betalende partij kan checken dat ie bij de juiste zit. Of we moeten naar een systeem waarbij banken wel degelijk dergelijke transacties kunnen tegenhouden. Nu mag je er zelf achteraan want ze kunnen niks want het geld is al overgeschreven.

[Reactie gewijzigd door Powerblast op 25 november 2024 18:48]

[logix147]

Idee is beter omschreven in hun eigen verklaring richting de gemeenteraad.

Bij de 2 gevonden afwijkingen had tot de conclusie gekomen moeten worden dat er telefonisch of een eerder bekend contact wijze met deze leverancier was gepraat.

https://helmond.notubiz.n...17&connection_id=11199638

Tweakers gaat hier een beetje kort door de bocht.

[mvnieuw]

Die controletelefoontjes onderschep je niet door een nieuw nummer op een factuur te zetten. Als iemand zijn werk goed doet, dan belt hij het nummer dat in zijn erp systeem staat en vraagt of het inderdaad klopt dat het rekeningnummer is gewijzigd.

[BarnET]

Klein bedrijfje hier ik heb geen systeem van al onze leveranciers.

Zoek nummers snel via Google. Kan je dit probleem ook niet hebben. Trouwens als e-mail adres gecheckt was de factuur al per direct in de 🗑️ beland.

Dan was er geen eens een mogelijkheid om de verkeerde kwaadwillende aan de lijn te krijgen.

[logix147]

De procedure is ook dat men belt naar een nummer wat al in eerdere contacten bekend is.

Los hiervan is het geen schande om bij twijfel niets over te maken. Dan krijg je slechts een herinnering. Wel als je dit zonder communicatie doet.

[Navi]

Lijkt me nogal vanzelfsprekend dat je de originele partij gewoon alsnog moet betalen..

[Blokker_1999]

Nee, als jij een mailtje/brief/fax krijgt van een leverancier dat hun rekeningnummer veranderd is, dan neem je snel even contact op via een andere, reeds gekende weg om na te vragen of dit klopt.

[BarnET]

Klopt, zeker met een factuur van 93K

[Pingewin]

En normaal wil je er een verklaring van de bank bij dat dit rekening nummer inderdaad van dit bedrijf is.

[Melkunie]

kijk en dit is niet eens het prille aan deze actie.

Als de factuur namelijk legitiem was en alleen het rekeningnr anders dan zal de oorspronkelijke leverancier ook nog om 93.000 euro vragen van de gemeente.

Dat is dan ook hoe ze er achter zijn gekomen:

De gemeente kwam de oplichting op het spoor toen ze op 15 november een aanmaning kreeg van een leverancier, omdat een factuur nog niet was betaald. In de administratie kon de gemeente terugvinden dat de factuur van 93.000 euro wel was betaald, maar was overgemaakt naar een ander rekeningnummer.

https://www.omroepbrabant...-en-maakt-93000-euro-over

[Secsytime]

Heel simpel, bij elk rekeningnummer wijziging moet de crediteur nagebeld worden om dit te verifieren. Standaard procecure bij de meeste bedrijven.. Het is de moeite waard

[logix147]

Het had in dit geval 93.000 opgeleverd. Daar kan je iemand voor inhuren die dat doet - ik zou overwegen dit als pensioenado dit t.z.t. wel te doen :-)

[Fr3nkmeister]

Wat een corporatief gelul zeg. Weet je wat ook een idee is? Je job uitvoeren waar je voor aangenomen bent. En dat betekend dus inderdaad (hyper complex hoor allemaal) een rekeningnummer controleren. Moeilijk he?

[laptopleon]

kijk en dit is niet eens het prille aan deze actie.

Als de factuur namelijk legitiem was en alleen het rekeningnr anders dan zal de oorspronkelijke leverancier ook nog om 93.000 euro vragen van de gemeente.

Nee, dit is precies hetzelfde probleem, maar dan nog een keer, anders geformuleerd.

[Die_ene_gast]

Ze hadden toch eventjes een belletje kunnen doen met het bedrijf? Ik neem aan dat een bedrijf ook wel aankondigt dat ze een nieuw bankrekeningnummer nemen(gebeurt praktisch nooit) en dat men wordt aangemoedigd te bellen als ze dit zien.

Dan weet je als leverancier dat je echt alles hebt gedaan om je klanten tevreden te houden en als betaler dat je alles hebt gedaan om zeker te weten dat het goed zit.

Maar nee, de betaler hier zag een ander rekeningnummer. Springt door alle interne hoepels om dit te fixen, zonder ook maar even na te denken:"Hmmmm, is dit niet een bijzondere situatie?"

[YGDRASSIL]

Op basis van een enkel telefoontje een ton overmaken naar een rekeningnummer dat je net in datzelfde telefoontje hebt gehad zonder enige andere verificatie is wel heel naief. Dan ben je wat mij betreft ook zelf aansprakelijk voor de fout. Dat de beller informatie had die normaal alleen de leverancier zou hebben lijkt me in dit geval onvoldoende om de schuld bij de leverancier te leggen.

[synoniem]

Een beetje betalingssysteem begint te piepen als een bankrekeningnummer wijzigt en vraagt om extra controle. Kennelijk heeft de gemeente Helmond geen deugdelijk betalingssysteem en je kan je daarom afvragen hoe goed de rest van de ICT geregeld is.

[himlims_]

Lijkt me eerder iets voor de (functioneel) applicatie beheerder(s) dan ICT.

[Groningerkoek]

Die gaan dat natuurlijk alleen implementeren als zij daartoe een opdracht krijgen.

[logix147]

Beetje kip/ei verhaal als budget er niet is.

Security in de IT wordt heel lacherig over gedaan, ik werk erin.

Het is best triest dat ik bij 6 van de 10 bedrijven waar ik kom in een paar weken tijd ik binnen 30 minuten rondlopen veelal een schreven wachtwoord vind om een pc in te kunnen die vaak administratief voldoende middelen geeft dat ik verder kan.

Dan kan m’n werk een heeeeeel pleidooi over online veiligheid bieden - als een wachtwoord onthouden te lastig is en je dit niet in een app op je telefoon zet of desnoods oldskool in een fysieke kluis als je niet van de techniek houdt.

Ik heb hardcopy herstel sleutels van m’n wachtwoord kluizen in m’n offsite NAS zitten bijvoorbeeld. Niemand die snapt waarom op die schijven wat random getallen opgeplakt hebben mocht die ooit gejat worden. Dan vernieuw ik die keys t.z.t. wel.

Zonde van het geld en vooral hoe iemand zichzelf na zo’n fout voelt. Dat is echt onnodig en je kan daar best last van hebben en houden als je zoiets overkomt.

Even los van de financiële gevolgen gezien. Goed dat hier aandacht voor blijft maar tis vaak risico VS beloning en preventie kent geen beloning. Dus gaat budget anders op…

[Groningerkoek]

Maar los van wat ICT allemaal kan. Als bedrijf heb je mits je enigszins verstand bent natuurlijk ook de stelregel dat wijzigingen aangaande bankgegevens van een klant te alle tijde bij de klant geverifieerd moeten worden. Of een systeem al dan niet van te voren een alarm afgeeft moet daar niets aan veranderen.

[MathiasMetzger]

Oh bij mijn huidige werkgever staat het wachtwoord op een briefje, wat gewoon boven de PC hangt. Je zou dan als klant zijnde, eventjes naar wens een paar producten flink in prijs kunnen verlagen.

Die veranderingen gaan direct in, dus als je weet hoe het systeem werkt. Wat niet onmogelijk is als je bij eenzelfde winkel gewerkt hebt. Dan zou je binnen 5 minuutjes, producten af kunnen prijzen. Het is verspilde moeite om deze fossielen medewerkers te wijzen op de gevaren, van te simpele wachtwoorden en het opschrijven op een briefje.

Je kunt met die mensen ook geen fatsoenlijke discussie voeren over electrische rijden: dan krijg jij allemaal verwijten naar je hoofd, terwijl je als berijder niet verantwoordelijk bent voor hoe de accupakketen recycled gaan worden.

[Apiekool]

Huh? Omdat hun betaalpakket misschien niet in orde is en/of de medewerker een fout heeft gemaakt ga jij je gelijk afvragen hoe hun hele ICT is geregeld?

Wel duidelijk lekker kort door de bocht, dat dan weer wel.

[wica]

Mijn bank begint al te klagen, als ik een IBAN verkeerd invoer of als die de naam niet kan achterhalen. Dit zou idd standaard moeten zijn voor elk betaal systeem.

[1nsane]

Daarom richten ze zich op dit soort gemeenten, kleinere gemeenten waar de kans op fouten groter is. Minder procedures enz. Helmond is groot genoeg om rekeningen van onder de 100k als normaal te beschouwen maar te klein om een volledig dichtgetikt proces en systeem te hebben. Ik denk dat deze oplichters hier bij een grotere gemeente, een stuk lastiger mee weg komt.

Ik ken de publieke sector vrij goed en de middelgrote gemeenten hebben lang niet allemaal hun procedures op orde helaas.

[Pingewin]

Middelgrote bedrijven ook niet hoor!

[1nsane]

Dat ook maar het ging hier specifiek om een gemeente. Overigens, ik zal geen namen noemen, maar ik weet van meerdere substantiële gemeenten waar bijvoorbeeld vanuit IT oogpunt geen enkele vorm van rechtenbeheer is, iedereen kan overal maar bij. Wachtwoorden in plain text op matig beveiligde servers. Ga zo maar door.

[adje123]

Zou me niks verbazen als hun controle in een excel bestand plaats vindt.......

[Vaevictis_]

Hiervoor is 4 ogen principe en 3 weg matching ontworpen. Daarnaast een Iban controle en dan is eigenijk onmogelijk om te frauderen. Is allemaal te automatiseren heb dit voor een grote provincie gedaan die hadden hier ook incidenten mee gehad. Daar was de grens 100.000 euro voordat er controle plaatsvond.

[Termi]

Three-way match controleert alleen op de verkooporder, goederenontvangst en factuur dus niet hoe de betaling is verwerkt.

Risico lijkt hier eerder te zitten dat bankrekeningnummer is gewijzigd zonder voldoende controle. Bijvoorbeeld een bewijs dat het bedrijf eigenaar is van het nieuwe bankrekeningnummer.

Daarnaast is de vraag wie de budgethouder is en goedkeuring heeft verleend voor deze factuur, met andere woorden wat is er geleverd. Betreft het een inkooporder dan heb is er een referentie noodzakelijk, als het een directe factuur betreft zou ik eerst goedkeuring gaan zoeken van de budgethouder.

[Vaevictis_]

Klopt maar als er geen inkooporder (ga ik even gemakhalve van uit) is dan kan er ook geen factuur betaald worden. Dan heb je een spookfactuur en ook geen goedkeuring van budgethouder. Bij een directe factuur loop je wel groot risico daarom moet je dat ook niet meer willen. Zeker bij een grote organisatie mag je deze professionaliteit wel verwachten.

Controle op wijziging IBAN is wel een standaard check die de meeste organisaties hebben overgenomen.

Ze zullen er wel van leren.

[Groningerkoek]

De factuur zelf maakte gebruik van correcte gegevens dankzij phishing. Er was dus wel degelijk een inkooporder.

[JWL92]

Klopt maar als er geen inkooporder (ga ik even gemakhalve van uit) is dan kan er ook geen factuur betaald worden.

De fraudeur had gegevens van een legitieme leverancier met de juiste factuur- en contractgegevens. Die waren verkregen via phishing.

[sprankel]

De nepaanmaning kwam binnen op een niet-betaalde factuur van een leverancier. De criminelen hadden via phishing vertrouwelijke factuur- en contractgegevens in handen gekregen. Daarna maakten ze een vervalste factuur die er zeer betrouwbaar uitzag, legt Potters uit.

De criminelen hadden dus een echte factuur onderschept, heel je 3 weg matching gaat dus niet op. Bovendien had de gemeente de echte factuur nog niet betaald dus extra druk als de "nepaanmaning" van de echte factuur binnenkwam. En als de medewerker reeds onder druk staat, oja, we zijn ook van Iban veranderd dus als je daar het openstaand saldo wilt storten.

Iban controle had dit kunnen tegenhouden maar het is totaal niet ingeburgerd. Ik moet een betaling overmaken aan een juridisch bedrijf dat zich bezig houd met financiele informatie. Iban nummer op de site wijkt af van die op de factuur dus alarm bel gaat af. Telefoon, oja, voor wat belt u? Een Iban controleren? haha, waarom doet u dat mijnheer? Oh het Iban op de site is maar 1 van de zovele hoor.

Lang verhaal kort, het was allemaal legitiem maar ik werd wel half uitgelachen omdat ik ze daarvoor belde.

[fenrirs]

Iban controle had dit kunnen tegenhouden maar het is totaal niet ingeburgerd. Ik moet een betaling overmaken aan een juridisch bedrijf dat zich bezig houd met financiele informatie. Iban nummer op de site wijkt af van die op de factuur dus alarm bel gaat af. Telefoon, oja, voor wat belt u? Een Iban controleren? haha, waarom doet u dat mijnheer? Oh het Iban op de site is maar 1 van de zovele hoor.

Lang verhaal kort, het was allemaal legitiem maar ik werd wel half uitgelachen omdat ik ze daarvoor belde.

Gewoon terug ketsen. Iban en naam op factuur klopt niet. —> geen geld, zoek uit, en geen zaken meer mee doen. Voor je het weet zit je in carousel fraude

[Reactie gewijzigd door fenrirs op 25 november 2024 19:06]

[H.Klinkhamer]

Het is anders ook best wel normaal en gebruikelijk dat je als bedrijf gebruik maakt voor meerdere rekeningen tbv verschillende doeleinden. Juist daarvoor wil je ze ook niet allemaal op je site hebben staan.

[fenrirs]

Prima, die kun je dan ook correct op je factuur vermelden. Je hebt als bedrijf immers alle info zelf

[CivLord]

Vele gemeentes zijn laks met tijdig betalen.
Stel je belt vrijdagmiddag uit de naam van een bedrijf over een factuur die na twee maanden nog niet betaald is. Je zegt dat je nú je geld nodig hebt, omdat je anders de apparatuur niet kan huren die je nodig hebt voor de klus die je maandagmorgen voor diezelfde gemeente uit moet voeren. Je geeft degene aan de andere kant van de lijn de keuze: of nú betalen op de rekening van de Holding (omdat de boekhouding bij de werkmaatschappij al naar huis is), of maandag aan de burgemeester uitleggen waarom zijn prestigeproject vertraging oploopt, terwijl de pers staat te wachten op de eerste handeling die door de burgemeester uitgevoerd zal worden.
Natuurlijk is de officiële procedure dat er tal van controles uitgevoerd moeten worden, waarvoor op vrijdagmiddag niet voldoende mensen aanwezig zijn, en dat als een logisch gevolg maandag niet met de werkzaamheden gebonnen kan worden. Maar je kan zien dat het bedrijf al te lang op betaling zit te wachten en alle gegevens over die factuur kloppen met wat de persoon zegt, die zegt namens het bedrijf te bellen. En je weet dat je maandag een shitstorm over je heen krijgt wanneer er niet aan de werkzaamheden begonnen kan worden, ook al heb je alle procedures tot de letter gevolgd. Dan moet je wel heel stevig in je schoenen staan wil je willens en wetens die shitstorm over jezelf afroepen.

[adje123]

De medeweker is in een val getrapt en heeft er veel van geleerd.

Deze knaap heeft het groter aangepakt en niet eens via phishing maar gewoon rechtstreekse valse emails met facturen en toch heeft het gewerkt.

https://www.ad.nl/tech/ma...e-door-nepmails~aa99865d/

[RobbyTown]

Dacht Pathe het record had. Destijds ook flink bedrag: https://nos.nl/artikel/22...oor-nepmails-hoofdkantoor

Maar jou linkje helemaal bizar hoe dat kan

[dataworm]

Of medewerker vervalst factuur en boekt 93.000 euro over naar het rekeningnummer van zijn handlanger.

[Bomberman71]

Precies. De meeste geslaagde manieren van fraude, grote diefstallen en overvallen gaan vaak gepaard met inside info/support.

[Armselig]

Ach, facebook en google, is voor voor hun zakgeld. Vind ik minder erg dan Pathe.

[Room42]

"Het vermogen van Jérôme Seydoux, de voorzitter van Pathé en lid van de Seydoux-familie die de bioscoopketen controleert, wordt geschat op ongeveer 1,4 miljard euro. Zijn rijkdom komt voort uit zijn investeringen in de filmindustrie, vastgoed en financiële diensten. Pathé zelf is een van de grootste bioscoopketens in Europa en breidt momenteel zijn activiteiten uit, inclusief plannen om in 2024 naar de beurs te gaan."

Dat zijn ook geen zielige knaapjes, hoor.

[Secsytime]

Duidelijk het principe van segregation of duties niet op orde.. ben benieuwd waarom dit bij een accountantscontrole niet naar voren is gekomen..

[FreqAmsterdam]

Dat heeft niets te maken met de accountant. Die controleert de boeken achteraf.

[Arjant2]

Een accountant controleert de AO/IC waarbij functiescheiding een grote rol speelt. Dit soort zaken zou zeker opgemerkt moeten worden. De accountantscontrole vindt niet alleen maar achteraf plaats op de cijfers.
En ja voor een nieuwe organisatie zou een accountant te laat kunnen zijn met dit op te merken maar het is ook zo dat organisaties altijd in beweging zijn, procedures kunnen wijzigen, software kan wijzigen of iemand kan ziek zijn waardoor een bepaalde controle even niet plaatsvindt etcetc.

[memphis]

Met dat soort bedragen zou er toch binnen de gemeente bekend moeten zijn dat er een dergelijke factuur aan komt of dat eerst gecontroleerd wordt of het klopt. Argeloos betalen lijkt mij een beetje vreemde procedure maar blijkbaar werkt het zo wel.

[Secsytime]

Ging om een bestaande crediteur waarbij het rekeningnummer was aangepast.

Hiervoor is de controle dus blijkbaar niet op orde.. Er is niet nagebeld en het rekeningnummer is na wijziging dus niet gecontroleerd en daarna vrijgegeven.

Waarschijnlijk is het door dezelfde persoon gewijzigd die vervolgens ook de betaling heeft vrijgegeven. Erg onwenselijk allemaal.

Zoals aangegeven hoort een accountant hier een mening over gevormd te hebben.

[fire-breath]

Een accountant gaat alleen een mening hebben over het proces.
In dit geval lagen er gewoon procedures. De medewerker heeft deze alleen niet gevolgd. Als accountant kun je hier verder ook niet veel mee.

Normaliter heb je binnen gemeenten altijd een 2e controleur die een betaling moet goedkeuren. Het lastige is dat een gemiddelde betaalbatch eenvoudig een paar miljoen kan aantikken en dit dus zeker niet het grootste bedrag is. Snap best dat dit bedrag er bij een 2e controleur gewoon doorheen gekomen is.

[lighting_]

Je hebt toch naam nummer controle bij de bank?

[Powerblast]

Dat is toch nooit voldoende? Er zijn er wel meer die pietje post of iets dergelijks noemen. Dus een bank gaat dat niet blokkeren als je onder die naam een rekening aanmaakt.

Ik heb geen idee wat banken momenteel juist checken maar ik vermoed dat naam + IBAN inderdaad voldoende is. Dan mag het ineens allemaal. Niks dat zegt dat je bij pietje post 1 en niet bij 2 zit.

Een nettere oplossing zou in mijn ogen zijn dat je bij de ontvangende bank een soort van transactie code moet vragen die zij dan weer onderhandelen met de te betalen bank of iets dergelijks. Doe je vervolgens de betalingen dan wordt dat weer gechecked. Komt het niet overeen, afkeuren die handel. Iets in die trend .

[Reactie gewijzigd door Powerblast op 25 november 2024 19:04]

[jkommeren]

Voor zover ik weet alleen als het binnen dezelfde bank gebeurt.

[PCG2020]

Wanneer ik vanuit de Rabo Bankieren App geld overmaak naar Piet Jansen die bij de ABN Amro zit, worden naam en rekeningnummer ook gecheckt. Het komt bij mij maar sporadisch voor dat die gegevens niet geverifieerd kunnen worden. De app waarschuwt dan dat je extra goed moet controleren of alles klopt.

[dutchgio]

Inmiddels gaat het bij de grote banken over en weer ook zo.

[DonJunior]

Elk jaar krijgen wij op de zaak 'security training' en tijdens het zien van die filmpjes komt ook altijd bovenstaand scenario voorbij. Eerst een mail sturen met het te wijzigen rekeningnummer en vervolgens de factuur uitsturen.
Of nog erger, direct op de factuur melden dat het een gewijzigd rekeningnummer is.
Vroeg me altijd af "trappen hier mensen hier in". Vooral die laatste is toch een mega rode vlag.

Maar blijkbaar valt er nog genoeg te leren.

[Powerblast]

Ik heb het privé één keer voorgehad met een verzekeringsmaatschappij. Stond gewoon op de factuur (let op gewijzigd nummer). Ben er toen fysiek (omdat ik het telefoonnummer ook niet meer betrouwde ) naar toe gegaan om te vragen of het klopte .

Bleek toen ook te kloppen, maar idd dat was voor mij een serieus rood licht.

[PCG2020]

Het bedrijf dat de betalingen aan mijn tandarts regelt stuurde eerst een brief met de aankondiging dat hun rekeningnummer zou wijzigen, waarna op een aantal facturen die ná die brief verstuurd werden (en dat was tot zeker een jaar later), vermeld stond dat het rekeningnummer was gewijzigd. Niet iedereen past immers meteen het rekeningnummer aan in internetbankieren of in de bank-app.

Heb je niet toevallig een brief of mail van je verzekeringsmaatschappij gemist met daarin zo'n zelfde aankondiging? Dan is de vermelding op de factuur alleen een 'heads up' geweest. Wel prima dat je er scherp op was, natuurlijk

[dengregg]

als je veel facturen verwerkt van vele leveranciers zie je zulke meldingen wekelijks wel, dus zo een rode vlag is dat ook weer niet. In een goede situatie zou je dan de leverancier moeten contacteren via een weg die in het verleden ook al gebruikt is om te controleren of dit wel klopt, maar onder tijdsdruk durft dit wel eens zo gelaten te worden.

[jpfx]

Een ander rekening nummer dan in je systeem staat moet toch wel een red flag zijn. Kan me niet voorstellen dat bij vaste leveranciers bij iedere betaling handmatig het tekening nummer wordt ingevoerd.

Of dat bij scan processen foor facturering het rekening nummer dat gescand is zomaar voorrang krijgt boven het bekende nummer.

[CivLord]

Wanneer je met veel leveranciers te maken hebt, gebeurt het regelmatig dat één van hen een ander rekeningnummer neemt. Wanneer je nabelt krijg je meestal een kribbige persoon aan de lijn die voor de honderdste keer moet zeggen dat het bedrijf inderdaad een nieuw bankrekeningnummer heeft. Dan moet je van die ene leverancier eenmalig het rekeningnummer in de administratie wijzigen. (En een paar dagen later doe je het voor een andere leverancier.)

Betalingsverkeer wordt steeds duurder voor bedrijven. Het loont om actief te shoppen naar bedrijfsrekeningen met lage kosten voor jouw mix met diensten die je nodig hebt. En bij prijswijzigingen of wijzigingen in je bedrijf waardoor je andere diensten nodig hebt of meer betalingen krijgt, loont het vaak om over te stappen. Dus een gemeente die met honderden leveranciers te maken heeft krijgt tientallen gewijzigde rekeningnummers te verwerken per jaar.

Een slimme fraudeur zou wachten totdat een leverancier een ander rekeningnummer neemt om dan direct een valse factuur in te sturen met een eigen rekeningnummer. Wanneer dan gebeld zou worden of er een ander rekeningnummer is, dan krijgt de ontvanger te horen dat er inderdaad een nieuw rekeningnummer is en dat dat op de factuur staat. Omdat je een van de velen bent die de leverancier daarover belt, zal je actief ontmoedigd worden om door te vragen naar het exacte rekeningnummer, factuurnummer en bedrag.

[Dekar]

Het is triest dat dit soort betalingen aan cybercriminelen niet teruggedraaid kunnen worden. Dit is dan nog een gemeente, maar mensen hun levens gaan hierdoor kapot en de politie doet niks.

[CPV]

Hoe had je dit terug willen draaien? Incasseren van de rekening waarnaar het overgemaakt was?
Ik gok dat die al helemaal leeggehaald is.

[Verwijderd]

Ik vraag me af wat gebeurt dan met de betreffende ambtenaar. Krijg hij/zij dan “disciplinaire maatregelen” oid?

[Dekar]

Hangt er vanaf. Als er een strict protocol is en hij volgt die niet, dan wel. Als hij de chef betalingen is die alles altijd lekker zelf doet, dan kan je hem weinig aanrekenen.

Het grote probleem is dat het systeem van de gemeente dit toelaat. Meestal moet je een rekening bevestigen met afschriften, handtekeningen, en vanalles zodat dit niet kan gebeuren.

[HKS-Skyline]

vreemd, bij mijn werkgever worden leveranciers uitvoerig gecheckt en ingevoerd in het systeem, er moet een bank statement worden aangeleverd en een schriftelijke bevestiging dat de gegevens kloppen. Pas dan wodt een factuur verwerkt. Bij iedere opvolgende factuur moet alle info kloppen met de eerder opgegeven info en er moet schriftelijke goedkeuring zijn van de relevante manager. We krijgen regelmatig scam facturen, maar als er geen kloppende referentie of correct factuurnummer op staat dan vis je hem er direct uit.