Fraude op de werkvloer herkennen: 6 vormen om je team op te trainen

Fraudebewustzijn trainen (in het Engels: fraud awareness training) betekent dat medewerkers de oplichtingstrucs leren herkennen die op hen persoonlijk mikken: een spoedverzoek van de directeur, een spookfactuur van een bekende leverancier, een telefoontje van de "bank" over verdachte transacties. Goede training legt fraude niet abstract uit. Ze laat medewerkers precies de berichten zien die ze gaan krijgen, laat ze oefenen met herkennen en geeft ze één eenvoudige regel als iets niet klopt: stoppen, terugbellen via een bekend nummer en melden.

De meeste fraude tegen organisaties kraakt geen enkel systeem. Ze haalt iemand over om iets te doen wat hij mag doen, zoals een betaling goedkeuren of een rekeningnummer wijzigen. Daarom zijn de financiële administratie, de officemanager en de nieuwe collega op crediteuren het echte doelwit, en daarom vangt technologie het zelden alleen af. Hieronder lees je welke zes vormen van fraude in Nederland het vaakst op de werkvloer opduiken, waarom een jaarlijkse module tekortschiet en hoe je training opzet die echt verandert wat mensen doen.

Zes vormen van fraude die op medewerkers mikken

1. CEO-fraude en business email compromise. Een mail die van de directeur lijkt te komen vraagt om een dringende, vertrouwelijke overboeking. De toon is gehaast, de afzender zit "in een overleg" en is niet bereikbaar. Bij business email compromise gebruikt de aanvaller een echte, gekaapte mailbox, wat het verzoek nog geloofwaardiger maakt. Lees in ons artikel wat CEO-fraude is en wat je ertegen kunt doen.
2. Spookfacturen. Een factuur voor een dienst die nooit geleverd is, zoals een vermelding in een bedrijvengids of een "verlenging" van een domeinnaam. Ze lijken op echte facturen en komen vaak binnen met een betaaltermijn van een paar dagen, zodat niemand de tijd neemt om na te gaan of er ooit iets besteld is.
3. Factuurfraude met een gewijzigd rekeningnummer. Een "leverancier" meldt dat zijn IBAN is veranderd. Elke volgende betaling gaat dan naar de fraudeur, soms maandenlang, tot de echte leverancier om een openstaande factuur vraagt.
4. Onderschepte mailwisseling. De crimineel leest mee in een lopende e-mailconversatie over een betaling, bijvoorbeeld een aanbetaling of een grote order, en stuurt precies op het juiste moment een bericht met nieuwe betaalgegevens.
5. Deepfakes en telefoonfraude. Een telefoontje of spraakbericht dat klinkt als je leidinggevende bevestigt het nepverzoek, soms vanaf een vervalst nummer (spoofing). Stemklonen is goedkoop en snel geworden, daarom behandelen we het apart in deepfake awareness training.
6. Bankhelpdeskfraude en WhatsApp-fraude. Fraude stopt niet bij de kantoordeur. Bij bankhelpdeskfraude belt een zogenaamde bankmedewerker over "verdachte transacties" en laat soms zelfs een koerier de bankpas ophalen. Bij WhatsApp-fraude doet iemand zich voor als familielid in nood. Dezelfde trucs duiken daarna op het werk op. Lees meer over smishing.

Wat deze vormen gemeen hebben is niet het kanaal maar de druk: haast, autoriteit en geheimhouding. Training die mensen leert op die drie signalen te letten, beschermt ze ook tegen varianten die nog moeten verschijnen.

Waarom een jaarlijkse fraudemodule niet werkt

Veel organisaties behandelen fraude één keer per jaar, in een e-learning van een half uur. Het vinkje staat, maar het effect is binnen weken weg. Fraudebewustzijn is geen kennis die je opslaat, het is een reflex die je opbouwt: de halve seconde aarzeling voordat je op "goedkeuren" klikt. Reflexen vragen herhaling.

Het tweede probleem is timing. Fraudeurs volgen de kalender en het nieuws: betalingen rond de jaarafsluiting, vakantievervanging op de financiële afdeling in de zomer, de overstap naar een nieuw boekhoudpakket, een bekende leverancier die net in het nieuws was. Een module van afgelopen voorjaar speelt daar niet op in. Korte, terugkerende training kan het scenario voorleggen op het moment dat het echt speelt.

Wat goede fraudetraining behandelt

• Realistische scenario's per fraudevorm. Medewerkers oefenen met de berichten die ze echt gaan zien: de spoedmail van de directeur, de melding van een nieuw IBAN, de spookfactuur. Rol maakt uit, dus de crediteurenadministratie krijgt meer betalingsscenario's dan het magazijn.
• Simulaties, niet alleen theorie. Phishing simulaties die factuur- en CEO-fraude nabootsen, laten zien wie op een nepverzoek zou ingaan, zonder de echte schade.
• Een vaste terugbelregel. Elke wijziging van een rekeningnummer of elk ongebruikelijk betaalverzoek controleer je via een kanaal dat je al had, zoals het nummer in je leveranciersbestand, nooit het nummer uit de mail. Veel banken bieden daarnaast een naam-rekeningnummercontrole bij het betalen; neem een waarschuwing daarvan altijd serieus.
• Makkelijk melden. Collega's die een verdacht bericht melden, zijn je vroegste waarschuwing. Maak het één klik en bedank ze ervoor, ook als het onschuldig blijkt.
• Meten door de tijd. Houd bij hoeveel mensen melden, hoeveel er in simulaties trappen en hoe dat per team verandert. Zo zie je waar extra training nodig is en heb je bewijs voor de Cyberbeveiligingswet en ISO 27001.

Fraudetraining opzetten in vijf stappen

1. Meet waar je staat. Begin met een nulmeting, zodat je weet welke teams en fraudevormen eerst aandacht nodig hebben.
2. Breng de betaalprocessen in kaart. Wie mag betalingen goedkeuren, leveranciersgegevens wijzigen of spoedbetalingen vrijgeven? Die mensen krijgen de meest intensieve training. Het vier-ogenprincipe voor wijzigingen van rekeningnummers helpt daarbij.
3. Leg de terugbelregel vast. Zet de regel op papier en laat de directie er zichtbaar achter staan, zodat niemand zich bezwaard voelt om een verzoek van de directeur te checken.
4. Train kort en vaak. Een paar minuten per week wint van een middag per jaar. Wissel de fraudevormen af, zodat elk scenario regelmatig terugkomt.
5. Test, meet en herhaal. Draai simulaties, deel de resultaten per team zonder namen te noemen en pas de scenario's aan op wat je ziet.

De tip: train fraudebewustzijn met Guardey

Guardey maakt van deze aanpak een wekelijkse gewoonte. Medewerkers krijgen een challenge van ongeveer drie minuten, op hun laptop of in de mobiele app voor iOS en Android, over CEO-fraude, spookfacturen, phishing, smishing en deepfakes. Gamification met leaderboards en streaks zorgt dat mensen blijven terugkomen, phishing simulaties testen wat ze geleerd hebben en audit-klare rapportage laat zien waar je staat voor de Cyberbeveiligingswet en ISO 27001. Meer dan 500 organisaties, waaronder het Europees Parlement, gebruiken Guardey al. Bekijk hoe onze security awareness training werkt.

Regelt je IT partner ook de menselijke kant?

Veel mkb-bedrijven besteden hun IT uit aan een managed service provider (MSP), een IT bedrijf dat voor een vast bedrag per maand systemen en beveiliging beheert. Fraude is daarin vaak een blinde vlek: de firewall wordt beheerd, maar niemand traint de collega die de facturen betaalt. Vraag je MSP gerust of dat erbij kan.

Voor MSP's is Guardey onder meer verkrijgbaar via cybersecuritydistributeur e92plus, die partners helpt nieuwe securitydiensten te lanceren met kant-en-klare marketingcampagnes en maandelijkse facturatie per klant.

Veelgestelde vragen over fraude op de werkvloer

Wat is een spookfactuur?

Een spookfactuur is een factuur voor iets wat nooit besteld of geleverd is, bijvoorbeeld een vermelding in een onbekend bedrijvenregister of een merkregistratie die op een officiële instantie lijkt. Fraudeurs rekenen erop dat een drukke administratie kleine bedragen zonder controle betaalt. Betaal nooit zonder te checken of er een bestelling of contract tegenover staat.

Wie heeft fraudetraining nodig?

Iedereen, maar niet in dezelfde mate. Medewerkers die betalingen goedkeuren, facturen verwerken of leveranciersgegevens wijzigen, zijn het belangrijkste doelwit en hebben de meeste scenario's nodig. Andere collega's hebben baat bij de basis, omdat fraudeurs ook hen gebruiken om informatie te verzamelen of bij de juiste persoon uit te komen.

Hoe vaak moet je fraudebewustzijn trainen?

Kort en vaak werkt beter dan lang en zelden. Een paar minuten per week houdt de reflex scherp en laat je inspelen op nieuwe trucs zodra ze opduiken. Eén jaarlijkse module is snel vergeten.

Wat doe je als je toch aan een fraudeur hebt betaald?

Bel direct je bank: hoe sneller, hoe groter de kans dat de betaling nog tegengehouden of teruggehaald kan worden. Doe daarna aangifte bij de politie en meld het bij de Fraudehelpdesk, zodat anderen gewaarschuwd worden. Leg intern vast wat er gebeurde, zodat je het proces kunt aanpassen.

Fraude tegen organisaties verandert steeds van vermomming, maar de druk erachter blijft hetzelfde. Teams die hebben geoefend met het herkennen van haast, autoriteit en geheimhouding, en die weten dat terugbellen om te checken altijd mag, stoppen de meeste pogingen voordat er geld wordt overgemaakt.