Een leverancier die plotseling een nieuw rekeningnummer doorgeeft. Een factuur die er exact hetzelfde uitziet als altijd. Een medewerker die de betaling uitvoert zonder argwaan.
Pas weken later ontdek je dat het geld naar een fraudeur is overgemaakt.
Factuurfraude komt steeds vaker voor. De financiële impact kan oplopen van enkele duizenden euro’s tot bedragen die de continuïteit van een onderneming onder druk zetten. Daarom is een belangrijke vraag: wie draait uiteindelijk op voor de schade?
Het antwoord hangt af van de omstandigheden, de getroffen beveiligingsmaatregelen én de aanwezige verzekeringen.
Wat is factuurfraude?
Bij factuurfraude probeert een oplichter een bedrijf te laten betalen naar een verkeerde bankrekening.
Dat kan bijvoorbeeld gebeuren door:
- vervalste facturen;
- onderschepte e-mails;
- aangepaste bankrekeningnummers;
- phishingmails;
- nepverzoeken namens bestaande leveranciers.
Vaak merken ondernemers pas iets wanneer de echte leverancier informeert naar een openstaande betaling.
Niet iedere fraude is een cyberincident
Veel ondernemers gaan ervan uit dat factuurfraude automatisch onder een cyberverzekering valt. In de praktijk ligt dat genuanceerder.
Er zijn grofweg twee soorten verzekeringen die een rol kunnen spelen:
Fraudeverzekeringen
Een fraudeverzekering richt zich op directe financiële schade door fraude, oplichting, vervalste betalingsopdrachten en andere vormen van vermogenscriminaliteit. Daarbij staat de verdwenen geldstroom centraal.
Cyberverzekeringen
Een cyberverzekering richt zich vooral op digitale incidenten zoals hacks, ransomware, phishing, datalekken en systeeminbraken. Financiële fraude kan soms zijn meeverzekerd, maar meestal alleen wanneer deze rechtstreeks voortvloeit uit een cyberincident.
Dat verschil is belangrijk.
Wanneer een vervalste factuur zonder cyberincident wordt betaald, kan een fraudeverzekering mogelijk dekking bieden terwijl een cyberverzekering dat niet doet. Andersom kan een cyberverzekering juist uitkomst bieden wanneer een hacker via phishing of systeeminbraak een betaling veroorzaakt.
Wanneer is factuurfraude vaak verzekerd?
Hoewel polisvoorwaarden verschillen, zie je in de markt regelmatig dekking voor:
- vervalste facturen;
- vervalste betalingsopdrachten;
- rekeningnummerfraude;
- oplichting door derden;
- bepaalde vormen van computerfraude;
- cyberdiefstal na een digitale aanval.
Vooral moderne cyberverzekeringen bieden steeds vaker aanvullende dekking voor cyberfraude, social engineering en frauduleuze overboekingen. De verzekerde bedragen zijn daarbij wel vaak beperkt tot een sublimiet.
Wat is CEO-fraude of social engineering?
Een steeds vaker voorkomende vorm van fraude is CEO-fraude.
Daarbij doet een fraudeur zich bijvoorbeeld voor als directeur, eigenaar of financieel verantwoordelijke. Een medewerker krijgt het verzoek om met spoed een betaling uit te voeren naar een buitenlandse rekening.
Soms gebeurt dit telefonisch, maar vaak via e-mail.
Verzekeraars spreken hierbij regelmatig over:
- CEO-fraude;
- directiefraude;
- oplichting door valse identiteit;
- social engineering.
Voor dit soort fraude kan dekking bestaan, maar vaak alleen wanneer vooraf vastgestelde controlemaatregelen zijn gevolgd.
Waarom interne controleprocedures zo belangrijk zijn
Uit de voorwaarden blijkt dat verzekeraars veel waarde hechten aan fraudepreventie.
Veelvoorkomende eisen zijn:
- een vier-ogen-principe voor betalingen;
- functiescheiding tussen invoeren en goedkeuren;
- verificatie van rekeningnummerwijzigingen;
- telefonische terugbelcontroles;
- vastgelegde betaalprocedures.
Worden deze procedures niet gevolgd, dan kan dat leiden tot een afwijzing van de schadeclaim.
Voor ondernemers betekent dit dat goede interne controles soms net zo belangrijk zijn als de verzekering zelf.
Let op verborgen beperkingen: sublimieten
Een veelgemaakte fout is kijken naar het totale verzekerde bedrag op de polis.
Stel dat jouw cyberverzekering een verzekerd bedrag heeft van € 1 miljoen.
Dat betekent niet automatisch dat factuurfraude naar aanleiding van een cyberincident ook tot € 1 miljoen verzekerd is.
Voor onderdelen zoals:
- social engineering;
- cyberdiefstal;
- frauduleuze overboekingen;
- digitale identiteitsfraude;
geldt regelmatig een aparte sublimiet.
Een sublimiet is een lager maximumbedrag binnen de totale verzekering. Daardoor kan een ondernemer denken ruim verzekerd te zijn, terwijl voor factuurfraude slechts een beperkt bedrag beschikbaar is.
Fictief voorbeeld
Een groothandel ontvangt een e-mail die afkomstig lijkt van een vaste leverancier.
In het bericht staat dat het bankrekeningnummer is gewijzigd. Een medewerker past het rekeningnummer aan en betaalt € 32.000.
Drie weken later blijkt dat de leverancier nooit om een wijziging heeft gevraagd.
Of de schade wordt vergoed hangt vervolgens af van vragen zoals:
- Welke verzekering is afgesloten?
- Is sprake van fraude of van een cyberincident?
- Is het gewijzigde rekeningnummer gecontroleerd?
- Zijn de interne procedures gevolgd?
- Welke sublimieten gelden voor fraude?
De uitkomst kan daardoor per situatie verschillen.
Wat kun je direct controleren?
Controleer binnen jouw organisatie:
✅ Worden rekeningnummerwijzigingen telefonisch gecontroleerd?
✅ Is een vier-ogen-principe ingericht?
✅ Zijn medewerkers getraind in phishing en fraudeherkenning?
✅ Weet je of social engineering is meeverzekerd?
✅ Ken je de eventuele sublimieten?
✅ Is duidelijk welke verzekering dekking biedt bij factuurfraude?
Conclusie
Wie uiteindelijk opdraait voor de schade van factuurfraude hangt af van veel meer dan alleen de vraag of er een verzekering aanwezig is.
Fraudeverzekeringen richten zich vooral op financiële schade door oplichting en vervalste betalingsopdrachten. Cyberverzekeringen zijn juist bedoeld voor schade die voortvloeit uit digitale incidenten zoals hacks, phishing en systeeminbraken.
Daarnaast kijken verzekeraars steeds vaker naar de preventiemaatregelen binnen een bedrijf. Een goed ingerichte betaalprocedure kan daarom net zo belangrijk zijn als de dekking zelf.