Deepfake awareness training: een snelle gids

In februari 2024 nam een medewerker van de financiële afdeling bij ingenieursbureau Arup deel aan een videogesprek met iemand die eruitzag en klonk als de CFO van het bedrijf en een aantal collega’s. Iedereen in dat gesprek, behalve die medewerker, was een deepfake. Tegen het einde van de week was er 25,6 miljoen dollar overgemaakt naar de aanvallers.

Dat is de realiteit van deepfake-fraude in 2026: het ziet er niet meer uit als een slecht gesynchroniseerde video van een beroemdheid. Het ziet eruit alsof je CEO op Teams zit en je om iets dringends vraagt. In deze gids lees je wat deepfakes zijn, hoe ze tegen organisaties worden ingezet, welke verificatieregels ze daadwerkelijk tegenhouden en welke trainingsplatforms voor deepfake-bewustwording je kunt gebruiken om je medewerkers voor te bereiden.

Wat zijn deepfakes en waarom zijn ze gevaarlijk?

Deepfakes zijn synthetische media (video of audio) die met behulp van kunstmatige intelligentie worden gemaakt of gemanipuleerd, zodat het lijkt alsof mensen dingen zeggen of doen die ze in werkelijkheid nooit hebben gezegd of gedaan. Gezichten kunnen worden verwisseld en stemmen kunnen worden gekloond, waardoor ze griezelig overtuigend klinken. Een deepfake kan anderen ervan overtuigen dat iemand dingen heeft gezegd of gedaan die hij of zij nooit heeft gedaan.

In de loop der jaren hebben we allemaal geleerd om niet altijd te geloven wat we lezen. Maar mensen hebben nog niet geleerd om alles wat ze zien en horen te wantrouwen. Daar maken cybercriminelen momenteel misbruik van. Of het nu gaat om een nepvideo waarin een CEO een controversiële uitspraak doet, of een nagebootste stem die dringend om gevoelige informatie vraagt: deepfakes kunnen in de echte wereld schade aanrichten.

Belangrijkste risico's van deepfakes voor organisaties

Deepfakes creëren meerlaagse bedreigingen voor bedrijven. De belangrijkste risico's zijn onder andere:

CEO fraud en financieel verlies

Een grote bedreiging is deepfake-gestuurde CEO fraud. Criminelen gebruiken een gekloonde stem of video van een senior executive om medewerkers te misleiden geld over te maken. Deze aanvallen vinden al plaats. Bijvoorbeeld:

• In 2019 verloor een Brits energiebedrijf $243.000 na een deepfake-stemoproep van een “CEO”.
• In 2020 gebruikten fraudeurs deepfake-stemtechnologie om $35 miljoen te stelen.
• In 2024 verloor een Brits ingenieursbureau meer dan £20 miljoen na een nep-videogesprek waarin een hooggeplaatste executive werd geïmiteerd.

Medewerkers zijn van nature geneigd om dringende verzoeken van het management op te volgen, vooral onder druk. Deepfakes buiten dit instinct uit, waarbij gebruikelijke verificatieprocedures worden omzeild.

Reputatieschade en desinformatie

Deepfakes kunnen ook worden ingezet om reputaties te vernietigen. Stel je een nepvideo voor van je CEO die racistische opmerkingen maakt—of nepbewijs dat je product onveilig is—die online viraal gaat. Zelfs als het later wordt weerlegd, kan de schade aan vertrouwen en publieke perceptie onomkeerbaar zijn.

Europol waarschuwt dat deepfakes kunnen worden gebruikt om valse informatie over bedrijven te verspreiden, wat paniek onder aandeelhouders, klantenboycots of zelfs regelgevende onderzoeken kan veroorzaken.

Gerichte phishing en social engineering

Deepfakes tillen social engineering naar een heel nieuw niveau. In plaats van een verdachte e-mail, stel je voor dat je een overtuigend videogesprek ontvangt van je “IT-afdeling” waarin je wordt gevraagd in te loggen op een phishing-pagina. Of een spraakbericht van je “CFO” waarin dringend om vertrouwelijke informatie wordt gevraagd.

• Vishing (voice phishing) en video phishing zijn toenemende bedreigingen.
• Aanvallers hebben slechts een korte audioclip nodig (bijv. van social media) om de stem van een persoon overtuigend te klonen.

Deepfakes creëren emotionele authenticiteit, waardoor het voor medewerkers moeilijker wordt om fraude te detecteren alleen op basis van instinct.

In het privéleven zijn veel mensen al het doelwit geweest van deepfakes van hun kinderen of ouders. Als de onmiskenbare stem van je zoon je vertelt dat hij in gevaar is en nu geld nodig heeft, ben je dan kalm en alert genoeg om zijn identiteit te dubbelchecken?

Drie echte deepfake-aanvallen op bedrijven (en hoe twee daarvan werden tegengehouden)

Arup, Hongkong, 2024. Een medewerker van de financiële afdeling kreeg een e-mail over een ‘vertrouwelijke transactie’ en nam vervolgens deel aan een videogesprek waarin de CFO en andere collega’s live te zien waren. Ze waren allemaal door AI gegenereerd. De medewerker voerde 15 overschrijvingen uit voor een totaalbedrag van 200 miljoen HK$ (ongeveer 25,6 miljoen US$). Er ging niets mis met de technologie; de aanval lukte omdat het videogesprek als identiteitsbewijs werd beschouwd.

Ferrari, 2024. Een leidinggevende kreeg WhatsApp-berichten en daarna een telefoontje van iemand met de stem van CEO Benedetto Vigna, inclusief zijn Zuid-Italiaanse accent, over een vertrouwelijke overname. De leidinggevende stelde een vraag die alleen de echte CEO kon beantwoorden (de titel van een boek dat hij een paar dagen eerder had aanbevolen). De beller hing op. Kosten: nul.

WPP, 2024. Aanvallers zetten een Microsoft Teams-vergadering op met een openbare foto van CEO Mark Read, een gekloonde stem en YouTube-beelden, en probeerden een leidinggevende van een bureau zover te krijgen om een ‘nieuwe deal’ op te zetten en geld en persoonlijke gegevens te delen. Het slachtoffer kreeg argwaan en deed aangifte. Kosten: nul.

Het patroon is elke keer hetzelfde: een vertrouwd gezicht of een vertrouwde stem, een reden om het geheim te houden, en tijdsdruk. Het verschil tussen een verlies van 25 miljoen dollar en helemaal geen verlies lag niet in de vaardigheid om het op te sporen. Het ging erom of de medewerker het via een tweede kanaal had gecontroleerd voordat hij of zij in actie kwam.

Waarom traditionele security awareness niet langer voldoende is

De meeste bedrijven bieden jaarlijkse Security Awareness Training aan, die phishing, wachtwoordhygiëne en basis cyberhygiëne omvat. Maar dat is niet langer voldoende tegen deepfakes:

• Deepfakes zijn een nieuwe, snel evoluerende dreiging. Werknemers moeten leren om zelfs vertrouwde bronnen, zoals video's en telefoongesprekken, in twijfel te trekken.
• De meeste traditionele training programma's vermelden deepfakes niet eens.
• Onderzoek toont aan dat mensen, zelfs na te zijn gewaarschuwd voor deepfakes, moeite hebben om ze te detecteren.
• Traditionele security training is statisch, terwijl deepfake technieken maandelijks evolueren.
• Deepfake-incidenten vereisen nieuwe procedurele reacties, zoals het verifiëren van verdachte oproepen via alternatieve kanalen en duidelijke rapportagemechanismen.

Zonder specifieke deepfake awareness training kunnen medewerkers ten prooi vallen aan aanvallen omdat ze onderschatten hoe overtuigend synthetische media kunnen zijn.

Het deepfake-verificatieprotocol: vijf regels die bijna elke aanval tegenhouden

Je kunt niet van werknemers verwachten dat ze een goede deepfake herkennen. Voor audioklonen (zie vishing) is tegenwoordig maar een paar seconden geluidsfragment nodig, en live videodeepfakes draaien gewoon op gewone consumentenhardware. Training moet daarom verschuiven van detectie naar verificatie. Deze vijf regels dekken het overgrote deel van de echte incidenten:

1. Bel terug naar een bekend nummer. Elk verzoek over geld, inloggegevens, persoonlijke gegevens of toegangsrechten dat je via een telefoontje, video of spraakbericht krijgt, moet je controleren door de persoon terug te bellen op het nummer dat al in je telefoon of adresboek staat. Bel nooit naar een nummer dat in het bericht wordt genoemd.
2. Spreek een codewoord af voor dringende verzoeken. Het management en de financiële afdeling gebruiken een simpel mondeling wachtwoord dat nooit in e-mails of chats wordt opgeschreven. Als een ‘CEO’ dat niet kan noemen, wordt het gesprek beëindigd.
3. Elke betaling en elke wijziging in bankgegevens wordt door twee mensen gecontroleerd. Geen enkele medewerker kan zelfstandig een overschrijving doen boven een bepaalde limiet of de bankrekening van een leverancier wijzigen. Deepfakes richten zich op individuen; een tweede goedkeurder voorkomt zo de aanval.
4. Dringende zaken plus geheimhouding is een reden om te stoppen. „Vertel het aan niemand” en „het moet vandaag nog gebeuren” zijn de twee zinnen die in bijna elke deepfake-fraudezaak terugkomen. Leer je medewerkers om die combinatie te zien als een signaal om even stil te staan, niet om meteen in actie te komen.
5. Wissel van communicatiekanaal. Is het verzoek via video binnengekomen? Bevestig het dan telefonisch. Via de telefoon? Bevestig het dan persoonlijk of via de bedrijfschat. Aanvallers hebben zelden controle over twee kanalen tegelijk.

Zet de vijf regels op één pagina, laat het management het ondertekenen en maak het onderdeel van de introductieprocedure. Een protocol dat het management zichtbaar naleeft, is meer waard dan welke tip voor opsporing dan ook.

Praktische tips: medewerkers voorbereiden op deepfake-incidenten

Zo kunnen organisaties vandaag nog beginnen met voorbereiden:

• Voorlichtingscampagnes met echte voorbeelden: laat medewerkers echte voorbeelden van deepfakes zien. Door echte en nepvideo’s met elkaar te vergelijken, ontwikkel je een gezonde scepsis. Herhaling is hierbij cruciaal. Een jaarlijkse training ben je al na een paar weken weer vergeten.
• Leer detectievaardigheden aan: Train personeel om subtiele inconsistenties te herkennen (bijv. niet-overeenkomende lipbewegingen, vreemde belichting, monotone stemmen).
• Definieer duidelijke meldingsprocedures: Werknemers moeten weten hoe ze ongebruikelijke verzoeken kunnen verifiëren en vermoedens kunnen melden zonder angst voor beschuldiging.
• Gebruik technische tools: Verken software die synthetische media kan detecteren of implementeer tweefactorauthenticatie voor gevoelige verzoeken.

Deepfake awareness training per functie: wie heeft wat nodig

Een algemene module met de boodschap ‘deepfakes bestaan’ verandert weinig. Richt je op de mensen die daadwerkelijk worden aangevallen:

Financiën en crediteurenadministratie

Scenario’s: spoedoverschrijvingen, wijzigingen in de bankgegevens van leveranciers, betalingen in het kader van een ‘vertrouwelijke overname’. Oefen de terugbelregel en de vier-ogen-regel net zo lang totdat ze een reflex zijn geworden. Voer elk kwartaal minstens één simulatie met een stemkloner uit.

HR en salarisadministratie

Scenario’s: wijzigingen in salarisrekeningen, onboarding van ‘nieuwe medewerkers’ met verzonnen identiteiten, nepkandidaten bij videogesprekken. Train HR om identiteitsdocumenten te controleren aan de hand van een spontane, niet-gescripte interactie en om wijzigingen in rekeningen via een tweede kanaal te bevestigen.

Leidinggevenden en directieassistenten

Leidinggevenden zijn de meest gekloonde stemmen binnen het bedrijf, omdat hun geluidsopnames openbaar zijn. Leer medewerkers om elk ongewoon verzoek ‘van de baas’ te beschouwen als onbevestigd, en leer leidinggevenden om het te accepteren dat ze teruggebeld worden, zonder geïrriteerd te raken. Dit protocol werkt alleen als het management meespeelt.

IT en de helpdesk

Scenario’s: verzoeken om het wachtwoord of MFA te resetten, ingediend door ‘een medewerker’ via de telefoon, en verzoeken om toegang op afstand van een ‘leverancier’. Het datalek bij MGM Resorts in 2023 begon met een telefoontje naar de helpdesk. Zorg ervoor dat er stappen voor identiteitscontrole zijn die je niet alleen met je stem kunt doorlopen.

Hoe je effectieve deepfake Security Awareness Training aanbiedt

Guardey helpt organisaties bij het opbouwen van continue cyberresilience met gebruiksvriendelijke, gamified Security Awareness Training die deepfake awareness omvat:

• Gamification: Werknemers verdienen punten, badges en strijden in vriendschappelijke leaderboards, waardoor leren leuk en memorabel wordt.
• Continu leren: In plaats van één jaarlijkse sessie biedt Guardey wekelijkse of maandelijkse microlearning, waardoor werknemers up-to-date blijven naarmate deepfake-dreigingen evolueren.
• Relevante content: Guardey stemt scenario's af op de sector van elke klant, waardoor de lessen zeer herkenbaar zijn.

Het continue, gamified model van Guardey moedigt werknemers aan om kritisch na te denken over wat ze zien en horen, en bouwt zo duurzame gewoonten van scepsis op.

→ Meer leren over Guardey tijdens een demo

Platforms en tools voor deepfake awareness training vergeleken

De meeste security awareness platforms hebben tegenwoordig een deepfake-module. De verschillen zitten hem in hoe realistisch de simulaties zijn, of er zowel spraak als video bij zit, en of de training doorlopend is of een eenmalige cursus.

Welk platform je ook kiest, let op drie dingen: simuleert het spraak of video (niet alleen e-mail), wordt er doorlopend getraind in plaats van één keer per jaar, en kun je per medewerker zien wie de training heeft doorlopen en wie niet? Als het antwoord op die laatste vraag ‘nee’ is, kun je niet meten of de training werkt.

Deepfake awareness checklist voor je organisatie

• Verificatieprotocol op papier gezet, ondertekend door het management, onderdeel van de introductieprocedure
• Terugbelnummers van alle leidinggevenden en financiële medewerkers in een adreslijst die de medewerkers ook echt gebruiken
• Codewoord dat is afgesproken tussen het management, de financiële afdeling en de directieassistenten
• De ‘vier-ogen-regel’ is niet alleen in het beleid vastgelegd, maar ook in het betalingssysteem
• Toegewezen modules op basis van functie: financiën, HR, leidinggevenden, IT
• Minstens één stemkloon of videosimulatie per kwartaal
• Een manier om verdachte telefoontjes te melden die sneller is dan een e-mail sturen
• Openbare audio- en video-opnames van leidinggevenden zijn bekeken (wat er al te vinden is, kan worden gekloond)
• Handleiding voor incidenten: wie je moet bellen in de eerste 30 minuten na een vermoedelijke deepfake-overdracht
• Bijgehouden statistieken: verificatiepercentage in simulaties, tijd tot rapportage, niet: voltooiing van de cursus

Veelgestelde vragen

Wat is deepfake awareness training?

Een training waarin medewerkers leren hoe door AI gegenereerde stemmen, video’s en afbeeldingen bij fraude worden gebruikt, en waarin ze verificatieregels krijgen die ze moeten volgen voordat ze iets doen met een verzoek dat afkomstig lijkt te zijn van iemand die ze kennen.

Is er een deepfake awareness cursus voor medewerkers?

Ja. De meeste security awareness platforms bieden een deepfake-module of -cursus aan; Guardey behandelt deepfakes, vishing en CEO-fraude in zijn wekelijkse uitdagingen, naast de trainingen over AI-bewustzijn. Een losstaande cursus is een goed begin, maar eenmalige cursussen zijn binnen een paar weken alweer vergeten. Het zijn juist de doorlopende, korte trainingen met simulaties die gedrag veranderen.

Wat is een training over deepfake-phishing?

Training in combinatie met simulaties waarbij medewerkers realistische maar onschadelijke deepfake-telefoontjes, spraakberichten of video-uitnodigingen krijgen, zodat je kunt meten wie de situatie controleert en wie actie onderneemt.

Hoe vaak moeten medewerkers een training krijgen over deepfakes?

Maandelijks korte inhoud, en voor risicovolle functies minstens elk kwartaal een simulatie. Deepfake-technieken veranderen zo snel dat een jaarlijkse module al achterhaald is tegen de tijd dat hij af is.

Conclusie: handel nu om voorop te blijven

Deepfakes zijn geen sciencefiction meer. Overal proberen cybercriminelen medewerkers te misleiden om dingen te doen die de financiën of reputatie van je organisatie kunnen schaden. Investeren in terugkerende training is de enige optie om je medewerkers voor te bereiden.