8 voorbeelden van CEO fraude: echte zaken, de e-mails erachter en hoe je ze stopt

In het kort: CEO fraude, ook wel business email compromise (BEC), is een aanvaller die zich voordoet als een leidinggevende om een medewerker geld of gegevens te laten overmaken. Het is met afstand de duurste vorm van cybercrime: de FBI registreerde alleen al in 2025 ongeveer 2,8 miljard dollar aan gemelde BEC verliezen. De acht voorbeelden hieronder zijn echt, lopen van €37.000 tot €70 miljoen en delen één patroon: autoriteit, urgentie, geheimhouding, en een medewerker die niet de telefoon pakte. Elk voorbeeld toont het bericht waarmee het begon; de laatste sectie geeft de vijf regels die ze allemaal hadden gestopt.

Hoe CEO fraude eruitziet

De klassieke versie is een e-mail. "Zit je achter je bureau? Ik heb vandaag een vertrouwelijke betaling van je nodig." Het kan ook een WhatsApp bericht zijn, een telefoontje met een gekloonde stem, of een videogesprek met een deepfake. Het doelwit zit meestal bij finance, is directieassistent, of werkt bij HR of inkoop en kan geld of gegevens verplaatsen. Voor de definitie en de juridische kant, zie wat is CEO fraude; voor de e-mail zelf, voorbeeld 5 in onze voorbeelden van phishingmails.

De 8 voorbeelden van CEO fraude

1. Pathé Nederland (2018): €19 miljoen voor een "vertrouwelijke overname"

Wat er gebeurde: de Nederlandse tak van bioscoopketen Pathé ontving e-mails die van het Franse hoofdkantoor leken te komen over een vertrouwelijke overname in Dubai. In enkele weken keurden de directeur en de financieel directeur overboekingen goed van in totaal ongeveer €19,2 miljoen. Beiden werden ontslagen; de rechter oordeelde later dat het ontslag van de financieel directeur rechtmatig was.

Het bericht: "Dit is strikt vertrouwelijk. Bespreek het met niemand in de organisatie. De eerste termijn moet vandaag worden overgemaakt."

Waarom het werkte: de geheimhoudingsclausule schakelde elke collega uit die een vraag had gesteld, en de deal klonk als iets wat een hoofdkantoor zou doen.

2. FACC (2016): €52 miljoen en de CEO ontslagen

Wat er gebeurde: de Oostenrijkse luchtvaarttoeleverancier FACC, die onderdelen maakt voor Airbus en Boeing, maakte ongeveer €52,8 miljoen over na e-mails die zich voordeden als de CEO over een overnameproject. Het bedrijf kreeg een fractie terug, de CEO en de CFO werden ontslagen, en de zaak werd in Europa hét voorbeeld van gevolgen op bestuursniveau.

Het bericht: een e-mailreeks vanaf een lookalike adres van de CEO, met de instructie aan de financiële afdeling om betalingen uit te voeren voor een geheim project.

Waarom het werkte: een keten van plausibele e-mails over langere tijd, geen enkel verzoek, en geen terugbelregel.

3. Crelan (2016): €70 miljoen bij een Belgische bank

Wat er gebeurde: de Belgische bank Crelan verloor ongeveer €70 miljoen aan CEO fraude, ontdekt tijdens een interne audit. De aanval richtte zich op medewerkers die bevoegd waren om overboekingen te doen.

Het bericht: instructies toegeschreven aan de directie om gelden te verplaatsen, met de gebruikelijke vertrouwelijkheidsframing.

Waarom het werkte: zelfs een bank, met controles gebouwd tegen externe fraude, had geen verificatiestap voor instructies die van binnenuit leken te komen.

4. Ubiquiti Networks (2015): 46,7 miljoen dollar via een dochterbedrijf

Wat er gebeurde: de Amerikaanse netwerkfabrikant maakte bekend dat medewerkers van een dochterbedrijf in Hongkong waren misleid om 46,7 miljoen dollar naar buitenlandse rekeningen over te maken na e-mails die zich voordeden als bestuurders en advocaten. Ongeveer 8 miljoen dollar werd teruggehaald.

Het bericht: verzoeken van "externe juridisch adviseurs" en "het bestuur" om dringende overboekingen in verband met een deal.

Waarom het werkte: de aanvallers richtten zich op een dochterbedrijf waar medewerkers de bestuurders niet persoonlijk kenden.

5. Toyota Boshoku (2019): 37 miljoen dollar in één overboeking

Wat er gebeurde: de Europese dochter van Toyota's toeleverancier van stoelen en interieurs maakte ongeveer 4 miljard yen (37 miljoen dollar) over nadat een derde die zich voordeed als zakenpartner de betaalgegevens wijzigde.

Het bericht: een overtuigend verzoek om naar een nieuwe bankrekening te betalen, binnen een bestaande leveranciersrelatie.

Waarom het werkte: de variant waarin "de baas" is vervangen door een vertrouwde leverancier: dezelfde techniek, een andere afzender.

6. Arup (2024): het deepfake videogesprek van 25 miljoen dollar

Wat er gebeurde: een financieel medewerker op het kantoor in Hongkong van ingenieursbureau Arup nam deel aan een videogesprek met de "CFO" en meerdere "collega's", allemaal door AI gegenereerd, en deed 15 overboekingen van in totaal 200 miljoen Hongkongdollar (ongeveer 25,6 miljoen dollar).

Het bericht: een e-mail over een vertrouwelijke transactie, gevolgd door een uitnodiging voor een videogesprek dat de twijfels van de medewerker wegnam.

Waarom het werkte: een gezicht en een stem werden als bewijs behandeld. Zie deepfake awareness training voor het verificatieprotocol dat dit stopt.

7. Ferrari en WPP (2024): de pogingen die mislukten

Wat er gebeurde: bij Ferrari ontving een directielid WhatsApp berichten en een telefoontje met de gekloonde stem van CEO Benedetto Vigna over een vertrouwelijke overname; hij stelde een vraag die alleen de echte CEO kon beantwoorden, en de beller hing op. Bij reclamegroep WPP zetten aanvallers een Teams vergadering op met een gekloonde stem en openbare beelden van CEO Mark Read; het doelwit werd achterdochtig en meldde het.

Waarom ze mislukten: één medewerker verifieerde, één medewerker meldde. Dat is het hele verschil tussen voorbeeld 6 en voorbeeld 7.

8. De mkb zaak: €37.000 aan cadeaukaarten

Wat er gebeurde: de versie die de meeste bedrijven echt meemaken. Een officemanager bij een bedrijf van 60 medewerkers kreeg een WhatsApp bericht van de "CEO": zit in een vergadering, heeft cadeaukaarten nodig voor een klant, stuur de codes, houd het stil. Ze kocht in twee dagen voor €37.000 aan cadeaukaarten voordat een collega vroeg waarom. Deze samengestelde zaak is gebaseerd op politie en verzekeraarsrapporten; de bedragen variëren, het script nooit.

Het bericht: "Ben je vrij? Ik heb een kleine gunst nodig en zit de hele middag vast in meetings."

Waarom het werkte: een klein, plausibel verzoek van iemand die je wilt helpen, met een reden om niet terug te bellen.

De voorbeelden in één oogopslag

Het patroon in elke zaak

1. Autoriteit: het verzoek komt van iemand die je niet tegenspreekt.
2. Urgentie: vandaag, vóór de deadline, voordat de deal sluit.
3. Geheimhouding: vertrouwelijk, niet bespreken, tussen ons.
4. Een reden om niet te bellen: in vergadering, op reis, in het buitenland, slechte verbinding.
5. Een nieuwe bestemming voor het geld: een nieuwe rekening, een nieuw land, cadeaukaarten.

Twee van deze vijf in één bericht is een signaal. Drie is CEO fraude tot het tegendeel bewezen is.

Vijf regels die alle acht hadden gestopt

1. Elke betaalinstructie wordt telefonisch geverifieerd op een nummer dat al in het adresboek staat, nooit op een nummer uit het bericht. Geen uitzondering voor bestuurders; bestuurders onderschrijven de regel openlijk.
2. Vier ogen op elke overboeking boven een drempel en op elke wijziging van bankgegevens. Eén persoon kan niet uitvoeren; een tweede goedkeurder stelt de vraag die de eerste niet stelde.
3. Een codewoord voor dringende verzoeken tussen leiding, finance en assistenten, nooit opgeschreven in e-mail of chat.
4. Geheimhouding is een stopbord. "Vertel het niemand" betekent: vertel het onmiddellijk aan je manager en finance.
5. Train en test de mensen die geld kunnen verplaatsen. Finance, assistenten, HR en inkoop krijgen elke vier tot zes weken een gerichte phishing simulatie van precies dit scenario, en drie minuten security awareness training per week. Ferrari en WPP werden gered door getrainde mensen, niet door technologie.

Wat je doet als het al is gebeurd

• Binnen het uur: bel de fraudedesk van je bank voor een terughaalpoging; de kans op terugvordering daalt sterk na 24 uur.
• Dezelfde dag: doe aangifte bij de politie en beoordeel, als er persoonsgegevens bij betrokken zijn, de meldplicht onder de AVG.
• Dezelfde week: bewaar de e-mails en headers, informeer je verzekeraar en brief het hele bedrijf zonder de medewerker de schuld te geven. De volgende poging zit meestal al in iemands inbox.

Veelgestelde vragen

Wat is een voorbeeld van CEO fraude?

Een e-mail of bericht dat van de CEO lijkt te komen met het verzoek aan een medewerker om een dringende, vertrouwelijke betaling te doen of cadeaukaarten te kopen. De Pathé zaak (€19 miljoen) en de cadeaukaartvariant (een paar duizend euro) zijn de twee uitersten van dezelfde oplichting.

Hoe vaak komt CEO fraude voor?

Business email compromise was in het internetcriminaliteitsrapport van de FBI over 2025 voor het vijfde jaar op rij de duurste categorie, met ongeveer 2,8 miljard dollar aan gemelde verliezen alleen al in de Verenigde Staten. De meeste zaken worden nooit openbaar gemeld.

Kan CEO fraude via telefoon of video plaatsvinden?

Ja. Gekloonde stemmen en deepfake videogesprekken (Arup, Ferrari, WPP) zijn de versies van 2024. De verificatieregel is dezelfde: terugbellen op een bekend nummer.

Wie is aansprakelijk als CEO fraude slaagt?

Het bedrijf draagt het verlies, en bestuurders kunnen gevolgen ondervinden: bij FACC en Pathé werden bestuurders ontslagen. Onder NIS2 is het bestuur expliciet verantwoordelijk voor cybersecuritymaatregelen, inclusief training.