Factuurfraude: hoe veilig is overboeken voor je bedrijf?

Maandagochtend, een vertrouwde leverancier mailt: “Wij zijn overgestapt naar een nieuwe bank, wil je de openstaande factuur voortaan naar dit IBAN overmaken?” De mail ziet er echt uit, het logo klopt, het bedrag ook. Toch is dit precies hoe factuurfraude begint. Is overboeken dan onveilig? Nee: het betaalsysteem zelf is goed beveiligd. Het risico zit bijna altijd in de mens die de betaling klaarzet en goedkeurt.

Zie het bankennetwerk als een geldtransport: vrijwel onkraakbaar onderweg. Het echte gevaar is niet dat de wagen wordt overvallen, maar dat iemand je overtuigt het geld bij het verkeerde adres af te leveren. In dit artikel lees je hoe een overboeking technisch beveiligd is, welke vormen van betaalfraude bedrijven raken en welke procedures en controles je zelf inbouwt om elke betaling veilig te houden.

Hoe veilig is overboeken eigenlijk?

Een SEPA-overboeking gaat niet als losse euro’s van rekening naar rekening, maar als een gedetailleerde betaalopdracht die door meerdere banken wordt verwerkt. Elke bank in de keten moet die opdracht exact begrijpen. Daarvoor gebruikt het systeem twee gegevens als “adres”:

• IBAN: het volledige, unieke rekeningnummer van de begunstigde. Het wijst naar één specifieke rekening bij één specifieke bank. Moet je een IBAN opbouwen uit een binnenlands rekeningnummer, dan voorkomt de IBAN-generator rekenfouten.
• BIC: de identificatiecode van de bank van de ontvanger, een soort postcode voor het geld.

Binnen de eurozone zorgt SEPA ervoor dat die opdrachten in 36 landen op dezelfde manier worden begrepen en verwerkt. Wil je weten welke soorten overboekingen er zijn en wanneer je welke kiest, lees dan welke soorten bankoverschrijvingen er zijn.

Het systeem voert uit wat je opgeeft. Eén verkeerd cijfer in een IBAN kan je geld naar een heel andere rekening sturen. En precies die afhankelijkheid van juiste gegevens is wat fraudeurs uitbuiten: ze hoeven niet in te breken bij de bank, ze hoeven alleen iemand in je team hun rekeningnummer te laten invullen.

Beveiliging van een overboeking in één oogopslag

Beveiligingslaag	Wat het doet	Belangrijkste risico
Versleuteling	Maakt betaalgegevens onleesbaar tijdens transport tussen banken.	Zelden het zwakke punt; moderne versleuteling is zeer sterk.
IBAN-validatie	Controleert of het rekeningnummer formeel klopt (lengte, landcode, controlegetal).	Zegt niets over de naam van de rekeninghouder.
Tweefactorauthenticatie	Je keurt betalingen goed met een tweede apparaat of code.	Een medewerker kan worden misleid om een frauduleuze betaling zelf goed te keuren.
Fraudebewaking van de bank	Signaleert betalingen die afwijken van je normale patroon.	Slimme fraude die op een gewone betaling lijkt, glipt erdoor.
Interne procedures	Hoe je team facturen controleert en betalingen goedkeurt.	Het grootste risico: haast, ontbrekende controles en social engineering.

De twee vormen van betaalfraude

Bij betaalfraude gaat het om twee heel verschillende dreigingen, en elk vraagt een eigen verdediging.

Onbevoegde fraude

De klassieke variant: een crimineel krijgt toegang tot je rekening via hacking, malware of gestolen inloggegevens, en boekt geld over zonder dat je het merkt. Dit is veel moeilijker geworden doordat banken multifactorauthenticatie verplichten: zonder je telefoon of tweede apparaat komt een betaling niet door. Criminelen zoeken wel nieuwe omwegen, bijvoorbeeld door medewerkers te bestoken met goedkeuringsverzoeken tot iemand uit vermoeidheid op “akkoord” drukt.

Geautoriseerde fraude: factuurfraude en CEO-fraude

Gevaarlijker is de vorm waarbij jij of je collega de betaling zelf goedkeurt. Criminelen hacken dan niet de bank, maar het menselijk oordeel. Omdat de opdracht van een bevoegde gebruiker komt, ziet de bank een volkomen normale betaling. Daardoor is deze fraude lastig te stoppen en het geld moeilijk terug te krijgen.

Veelvoorkomende scenario’s bij bedrijven:

• Factuurfraude en gewijzigde bankgegevens: een oplichter doet zich voor als een bekende leverancier en stuurt een valse factuur of een “nieuw” rekeningnummer. De volgende betaling verdwijnt in zijn zak.
• CEO-fraude: een medewerker krijgt een dringende, vertrouwelijke mail die van de directeur lijkt te komen, met het verzoek nog vandaag een bedrag over te maken.
• Zich voordoen als instantie: criminelen doen alsof ze van de bank, de Belastingdienst of de politie zijn en dreigen met boetes als je niet direct betaalt.

Kernpunt: bij factuurfraude ziet de bank een geldige opdracht van een bevoegde gebruiker. Technische beveiliging helpt dan weinig; je interne procedure is je laatste verdedigingslinie.

Je verdediging: techniek van de bank, procedures van jezelf

Beveiliging werkt in lagen. De bank levert het zware pantser: versleuteling van begin tot eind, tweefactorauthenticatie en algoritmes die afwijkende betalingen signaleren, zoals een groot bedrag naar een nieuwe buitenlandse leverancier om drie uur ‘s nachts. Jij en je team dragen het schild: de afspraken die je zelf maakt en naleeft.

Een paar regels die in de praktijk het verschil maken:

• Bel bij elke wijziging van bankgegevens terug naar een nummer dat je al kende, niet naar het nummer in de mail.
• Vier-ogenprincipe voor nieuwe begunstigden en voor bedragen boven een vaste grens.
• Geen uitzonderingen onder tijdsdruk: “dringend” en “vertrouwelijk” zijn juist signalen om te vertragen.
• Train je team in het herkennen van social engineering. Een alert team is een menselijke firewall.

Vuistregel: een wijziging van rekeningnummer per mail is nooit voldoende. Eén telefoontje naar een bekend nummer stopt de meeste pogingen tot factuurfraude.

Verificatie van begunstigde (IBAN-naamcheck)

Sinds 9 oktober 2025 zijn banken in de EU verplicht om bij eurooverboekingen de opgegeven naam te vergelijken met de naam van de rekeninghouder. In Nederland kende je dit al als IBAN-Naam-check; nu geldt het Europees voor gewone en instant SEPA-overboekingen. Je krijgt een match, een bijna-match of geen match te zien voordat je de betaling bevestigt.

Dat is een waardevolle extra controle tegen tikfouten en veel vormen van fraude, maar geen waterdichte bescherming. Stuurt een fraudeur een valse factuur met zijn eigen, legitieme rekening en naam, dan geeft de check gewoon een match. Meer hierover lees je in IBAN en rekeninghouder controleren.

Hoe automatische validatie je betaalproces versterkt

Bij veel bedrijven zit het grootste beveiligingsgat niet buiten, maar binnen de financiële afdeling: handmatig werken. Wie betalingen klaarzet vanuit spreadsheets, gegevens kopieert en plakt of betaalbestanden met de hand opbouwt, creëert precies de ruimte waarin fouten en fraude gedijen.

Automatische validatie sluit die gaten vooraf in plaats van achteraf. GenerateSEPA pakt de bekende risico’s zo aan:

• IBAN-validatie vooraf: elk IBAN wordt automatisch gecontroleerd op opbouw en controlegetal. Betalingen naar niet-bestaande of verkeerd getypte rekeningen worden tegengehouden voordat het bestand naar de bank gaat. Losse nummers controleer je met de IBAN-validator.
• Correcte SEPA XML: elk betaalbestand wordt in het juiste SEPA XML-formaat opgebouwd, zodat je bank het niet afwijst en je geen vertraging of extra kosten hebt.
• Veilig ingericht: gevoelige gegevens gaan versleuteld over de lijn en worden na een vaste termijn automatisch verwijderd. Dat verkleint de kans op een datalek.

Voor ontwikkelaars gaat het nog een stap verder: via de API zet je gevalideerde gegevens uit je boekhoud- of ERP-pakket rechtstreeks om in een SEPA XML-bestand, zonder dat iemand er tussendoor aan zit. Geen handmatige invoer betekent minder fouten en een kleiner aanvalsoppervlak voor gerichte fraude.

Werk je nog met oudere, binnenlandse bestandsformaten? Het risico zit dan zelden in onderschepping onderweg, maar in het handwerk en de verouderde standaarden eromheen. Overstappen op SEPA XML met automatische controles sluit die operationele gaten.

Checklist: een betaalproces dat bestand is tegen factuurfraude

Overboeken blijft een van de veiligste manieren om geld te verplaatsen, zolang je proces klopt. Echte veiligheid zit in de combinatie van drie lagen: de infrastructuur van je bank, een alert team en hulpmiddelen die menselijke fouten wegnemen.

Stap	Wat je doet	Wanneer
1. Bankgegevens vastleggen	Nieuwe leverancier pas betalen na controle van IBAN en naam via een bekend kanaal	Bij onboarding
2. Wijzigingen verifiëren	Altijd terugbellen naar een bekend nummer	Bij elke wijziging van rekeningnummer
3. Goedkeuring splitsen	Vier-ogenprincipe voor nieuwe begunstigden en grote bedragen	Bij elke betaalrun
4. Bestand valideren	IBAN’s en SEPA XML automatisch controleren vóór upload	Voor elke batch
5. Naamcheck serieus nemen	Bij bijna-match of geen match eerst navragen	Bij het bevestigen in de bank
6. Team trainen	Voorbeelden van CEO-fraude en valse facturen bespreken	Minstens jaarlijks

Begin bij het zwakste punt: handmatige betaalbestanden. Zet je Excel- of CSV-bestand om naar gevalideerde SEPA XML en probeer GenerateSEPA 7 dagen gratis.

---

Veelgestelde vragen

Wat is factuurfraude?

Bij factuurfraude doet een oplichter zich voor als een bekende leverancier en stuurt een valse factuur of een bericht over gewijzigde bankgegevens. Je betaalt dan te goeder trouw naar de rekening van de fraudeur. Omdat je de betaling zelf goedkeurt, is het geld vaak moeilijk terug te halen.

Is overboeken veilig voor zakelijke betalingen?

Ja, de overboeking zelf is goed beveiligd met versleuteling, tweefactorauthenticatie en fraudebewaking door de bank. Het grootste risico is dat iemand in je team wordt misleid om naar een verkeerde rekening te betalen. Duidelijke interne procedures en automatische controles dekken dat risico af.

Beschermt de IBAN-naamcheck tegen alle fraude?

Nee. De verificatie van begunstigde vergelijkt de opgegeven naam met de rekeninghouder en vangt tikfouten en veel oplichtingspogingen af. Staat op een valse factuur de echte rekening en naam van de fraudeur, dan geeft de check gewoon een match. Bel daarom bij gewijzigde bankgegevens altijd terug naar een bekend nummer.

Hoe maakt een API overboekingen veiliger?

Een API haalt gevalideerde betaalgegevens rechtstreeks uit je boekhoud- of ERP-pakket en zet ze om in een SEPA XML-bestand. Niemand hoeft gegevens over te typen of te kopiëren uit een spreadsheet. Dat verkleint zowel de kans op fouten als de ruimte voor gerichte fraude.

---

Gerelateerde artikelen