Zakelijke e-mailfraude wordt nog vaak gezien als een probleem van de financiële administratie: een vervalste factuur, een gewijzigd rekeningnummer, een medewerker die te snel betaalt. Dat is het zichtbare eind van het verhaal. Het begin ligt ergens anders, en dat begin is een identiteitsprobleem. In de praktijk is e-mailfraude inmiddels een van de meest voorkomende incidenten bij Nederlandse en Europese organisaties, vaker nog dan ransomware. En in vrijwel alle gevallen is het geen sluwe truc met een nep-afzender, maar een echte mailbox, van een echte medewerker, in handen van iemand anders.
Drie fasen: erin, erdoorheen, eruit
Het helpt om e-mailfraude te zien als een keten van drie stappen, omdat elke stap om een andere maatregel vraagt.
Erin: de identiteit overnemen
De aanvaller heeft eerst toegang tot een account nodig. Die komt uit een phishingpagina die de inlog live doorstuurt en het sessietoken onderschept, uit een infostealer op een privé-laptop, of uit een gekochte set inloggegevens. Opvallend vaak komt de phishingmail van een leverancier of klant wiens mailbox al eerder is overgenomen. Die mail komt van een echt adres, in een lopende conversatie, in correct Nederlands. Daar helpt geen spamfilter tegen.
Erdoorheen: onzichtbaar blijven
Eenmaal binnen doet de aanvaller twee dingen die je in bijna elk onderzoek terugziet. Hij maakt een inbox-regel die bepaalde berichten verbergt of doorstuurt, zodat de echte gebruiker niets merkt. En hij registreert een app met toegang tot de mailbox, zodat hij ook na een wachtwoordreset binnen blijft. Vanaf dat moment leest hij mee. Soms weken. Hij leert wie waarover beslist, welke betalingen eraan komen en hoe de mensen schrijven.
Eruit: het moment kiezen
Dan komt de ingreep: een rekeningnummer op een echte factuur, een "spoedbetaling" in de stijl van de directeur, of een bericht aan de klanten van het slachtoffer met een nieuwe betaallink. Omdat alles van een vertrouwd adres komt en inhoudelijk klopt, slaagt het vaker dan je zou denken. Maar let op: dezelfde toegang wordt ook doorverkocht of hergebruikt voor phishing van anderen, dataroof of afpersing. Fraude is één van de uitkomsten, niet de enige.
Waarom "we hebben MFA" hier niet volstaat
Bijna alle organisaties die hiermee te maken krijgen, hadden MFA aan. De aanvaller heeft de MFA niet gebroken; hij heeft de gebruiker de MFA laten doen en daarna de sessie meegenomen, of hij heeft via een app-toestemming een eigen ingang gemaakt. Dat is het verschil tussen MFA als vinkje en MFA als daadwerkelijke drempel.
Wat je kunt doen, per fase
- Erin voorkomen: phishing-resistant MFA (passkeys) voor iedereen die bij geld of klantdata kan, en Conditional Access dat inloggen vanaf onbeheerde apparaten beperkt. Zorg dat SPF, DKIM en DMARC kloppen, zodat jouw domein niet misbruikt wordt om jouw klanten te bestoken.
- Erdoorheen detecteren: alarmeer op nieuwe inbox-regels die doorsturen of verwijderen, op nieuwe app-toestemmingen en op inlogs vanaf ongebruikelijke locaties binnen dezelfde sessie. Dit zijn de vroege signalen; wie ze ziet, is de aanvaller weken voor.
- Eruit blokkeren: maak van elke wijziging van betaalgegevens een proces dat een oplichter onvermijdelijk zichtbaar maakt: bevestiging via een ander kanaal, op een bekend nummer, met vier ogen. Dit is bewust vertragen. Een echte leverancier vindt dat prima.
De les die het vaakst wordt gemist
Na een fraudegeval wordt de betaling teruggedraaid, de gebruiker krijgt een nieuw wachtwoord en iedereen gaat door. De inbox-regel blijft staan. De app-toestemming blijft staan. Drie maanden later gebeurt het opnieuw. Wie alleen de transactie stopt, lost het incident niet op; hij lost een symptoom op. Een goed onderzoek kijkt naar de identiteit: wat is er geregistreerd, wat is er gewijzigd, en wat moet er worden ingetrokken.
Dit is precies waar een SOC dat naar identiteitssignalen kijkt het verschil maakt. Niet alleen naar malware op werkplekken, maar naar wat er gebeurt in Entra ID en Microsoft 365: nieuwe regels, nieuwe apps, nieuwe apparaten, onmogelijke reizen. Dat zijn de plekken waar deze aanval zich verraadt, lang voordat er een factuur wordt betaald.