Valse bankgegevens detecteren: fraude bij leveranciersbetalingen

Dit artikel is uitsluitend informatief en vormt geen juridisch of regelgevend advies.

Een crediteurenmedewerker krijgt een vriendelijke e-mail van een vaste leverancier: het bankrekeningnummer is gewijzigd wegens "interne reorganisatie", graag de eerstvolgende betaling naar het nieuwe IBAN. Bijgevoegd zit een ondertekende brief op briefpapier van de leverancier, compleet met stempel en handtekening — gegenereerd door een AI-model in minder tijd dan het kost om de e-mail te lezen. Dit scenario, een variant van Business Email Compromise (BEC) gecombineerd met een vervalst bankdocument, is in 2026 een van de snelst groeiende vormen van betaalfraude bij Nederlandse bedrijven. Dit artikel richt zich specifiek op wat finance- en crediteurenteams kunnen doen om dit soort valse bankgegevens te herkennen vóórdat het geld de deur uit is.

Wat is fraude met valse bankgegevens bij leveranciersbetalingen?

Fraude met valse bankgegevens is het misleiden van een organisatie om een legitieme betaling om te leiden naar een rekening die de fraudeur beheert, meestal door zich voor te doen als een bestaande leverancier of bestuurder. De aanvaller onderschept of imiteert de communicatie rond een factuur of een wijzigingsverzoek en presenteert een vervalst bankdocument — een brief, een bankverklaring of een gewijzigde factuur — als bewijs dat het nieuwe rekeningnummer legitiem is. In de praktijk wordt dit vaak "leverancierswijziging-fraude" of "vendor payment redirection" genoemd, en het is nauw verwant aan CEO-fraude, waarbij de aanvaller zich voordoet als een bestuurder die een spoedbetaling eist.

De Nederlandsche Bank registreerde in 2025 een stijging van 55% in fraudegevallen via Europese overboekingen, tot ongeveer 129.000 transacties met een totaal schadebedrag van circa € 148 miljoen — een aanzienlijke stijging ten opzichte van de € 121 miljoen in 2024 (DNB, Meer fraude bij betalingen in 2025). Overboekingsfraude, waar valse bankgegevens de kern van vormen, groeit daarmee sneller dan kaartfraude.

Hoe fraudeurs AI inzetten om bankdocumenten te vervalsen

Generatieve AI verlaagt de drempel voor het produceren van geloofwaardige valse bankdocumenten tot vrijwel nul. Waar een fraudeur vroeger grafische vaardigheid en tijd nodig had om een bankverklaring, een RIB-achtig document of een ondertekende brief na te maken, genereert een taalmodel of beeldgeneratiemodel nu binnen enkele minuten een visueel overtuigend document met correcte lay-out, logo en een plausibele handtekening.

Drie technieken komen het vaakst voor. PDF-manipulatie blijft de meest gebruikte methode: een fraudeur opent een eerder ontvangen, echt document, wijzigt het IBAN en de begunstigde en bewaart het bestand zonder de bewerkingsmetadata te wissen. Beeldgeneratie met diffusiemodellen produceert volledig nieuwe documenten — een bankbevestigingsbrief met logo, stempel en handtekening die nooit heeft bestaan maar er authentiek uitziet. LLM-gegenereerde begeleidende tekst zorgt voor foutloos, professioneel Nederlands in de e-mail en de brief zelf, waardoor klassieke signalen zoals slechte grammatica of onhandige formuleringen — vroeger een belangrijk waarschuwingssignaal — grotendeels zijn verdwenen. Deze technieken overlappen sterk met de methodes die worden gebruikt bij het vervalsen van bankafschriften voor krediet- en KYC-dossiers, en vereisen daarom vergelijkbare forensische tegenmaatregelen.

De combinatie met Business Email Compromise maakt het effectiever: de aanvaller compromitteert eerst een e-mailaccount (van de leverancier, of via een bijna-identiek domein) en verstuurt vanuit een vertrouwde context een wijzigingsverzoek met het vervalste document als "bewijs". Omdat het verzoek uit een bekende conversatiedraad lijkt te komen, verlaagt dit de argwaan van de ontvanger aanzienlijk.

Business email compromise-aanvallen hebben wereldwijd al meer dan 43 miljard dollar schade veroorzaakt sinds 2016 (FBI IC3 Annual Report 2024), en het aandeel aanvallen met een AI-gegenereerd bankdocument als bijlage neemt toe naarmate generatieve tools breder beschikbaar komen.

Hoe groot is het probleem in Nederland

Fraude met bankgegevens en gerelateerde betaalfraude neemt in Nederland jaar na jaar toe in zowel meldingen als schadebedrag. De Fraudehelpdesk ontving in 2025 ruim 100.000 meldingen, een stijging van 69% ten opzichte van 2024, met een totale gemelde schade van bijna € 69 miljoen (Fraudehelpdesk, Terugblik 2025). Zakelijke betaalfraude — waaronder factuurfraude via gewijzigde bankgegevens — vormt daarbinnen een aparte en groeiende categorie, naast phishing en helpdeskfraude.

De ACFE-cijfers zijn relevant omdat ze de kern van het probleem blootleggen: bedrijven die louter op handmatige controle vertrouwen, ontdekken fraude gemiddeld pas na 87 dagen (ACFE, Report to the Nations 2024) — ruim voldoende tijd voor een fraudeur om meerdere betalingen te incasseren en het geld door te sluizen voordat iemand iets merkt.

Waarschuwingssignalen vóór betaling: waar moet een crediteurenteam op letten?

Geen enkel signaal bewijst op zichzelf fraude, maar een combinatie van twee of meer signalen op hetzelfde document of dezelfde transactie rechtvaardigt altijd een pauze in de betaalworkflow.

Is het wijzigingsverzoek ongevraagd en dringend?

Een onaangekondigd verzoek om bankgegevens te wijzigen, gecombineerd met tijdsdruk ("graag vandaag nog verwerken") of een dreigement met dienstonderbreking, is het meest voorkomende gedragssignaal bij zowel CEO-fraude als leverancierswijziging-fraude. Legitieme leveranciers communiceren wijzigingen doorgaans ruim vooraf en via meerdere kanalen, niet uitsluitend per e-mail vlak vóór een betaaltermijn.

Komt het bijgevoegde bankdocument overeen met bekende formaten?

Een vervalst bankdocument wijkt vaak subtiel af van eerdere, authentieke documenten van dezelfde instelling: een ander lettertype, een ontbrekend watermerk, een stempel die pixelig is bij inzoomen, of een adres dat niet overeenkomt met het geregistreerde kantoor van de bank. Bij AI-gegenereerde documenten zijn deze visuele afwijkingen vaak minimaal — de sterkste aanwijzingen zitten in de onzichtbare documentmetadata, niet in het uiterlijk.

Is het nieuwe IBAN ooit eerder gebruikt door deze leverancier?

Een IBAN dat niet voorkomt in het historische betalingsoverzicht van de leverancier is een directe stopfactor. Vergelijk elk nieuw rekeningnummer met het leveranciersstambestand voordat de wijziging wordt doorgevoerd, en behandel elke afwijking als incident totdat het tegendeel is bewezen.

Klopt het e-maildomein exact met het bekende domein van de leverancier?

Fraudeurs registreren regelmatig bijna-identieke domeinen (bijvoorbeeld met een extra letter of een andere extensie) om berichten te versturen die op het eerste gezicht van de juiste afzender lijken te komen. Een handmatige vergelijking van het volledige domein — niet alleen de weergavenaam — hoort standaard bij elke wijzigingscontrole.

Het Nationaal Cyber Security Centrum (NCSC-NL) adviseert organisaties expliciet om elke wijziging van bankgegevens te verifiëren via een eerder bekend telefoonnummer, nooit via de contactgegevens in het wijzigingsverzoek zelf — een simpele stap die een groot deel van deze fraude blokkeert.

Wat crediteurenteams elkaar vragen op forums en in vaktijdschriften

Op Nederlandse vakfora voor finance- en controllingprofessionals komen steeds dezelfde praktische vragen terug rond dit type fraude. Veel gebruikers vragen zich af hoe je een telefonisch "verificatiegesprek" waterdicht organiseert wanneer een leverancier honderden contactpersonen heeft en niemand meer weet wie het "bekende" nummer is. Anderen worstelen met de spanning tussen snelheid en controle: een crediteurenafdeling die facturen binnen enkele dagen moet verwerken, voelt de druk om een wijzigingsverzoek snel af te handelen, precies het gat dat fraudeurs opzoeken. Een derde terugkerend thema is onzekerheid over aansprakelijkheid: wie draait op voor het verlies wanneer een medewerker te goeder trouw een vervalst document heeft geaccepteerd — de eigen organisatie, de bank, of (bij een gecompromitteerde leverancier) de leverancier zelf? Deze vragen wijzen op een gedeeld pijnpunt: processen bestaan vaak op papier, maar worden onder tijdsdruk niet consequent gevolgd.

Fraudeurs ontdekt via uitsluitend handmatige controle blijven gemiddeld 87 dagen onopgemerkt (ACFE, Report to the Nations 2024), wat verklaart waarom tijdsdruk in de crediteurenadministratie — een terugkerende klacht op vakfora — zo'n bepalende factor is in geslaagde fraudegevallen.

Stappenplan voor finance- en crediteurenteams

Een gestructureerd, in de workflow ingebakken protocol is effectiever dan losse waakzaamheid van individuele medewerkers.

Stap 1 — Isoleer elk wijzigingsverzoek in een apart proces. Behandel een verzoek tot wijziging van bankgegevens nooit als onderdeel van de normale factuurgoedkeuring. Het moet een eigen, formeel traject doorlopen met verplichte tweede validatie.

Stap 2 — Verifieer telefonisch via een onafhankelijk, historisch nummer. Bel nooit het nummer dat in het wijzigingsverzoek of op het bijgevoegde document staat. Gebruik het nummer dat al in het leveranciersstambestand staat, bij voorkeur geverifieerd bij de eerste onboarding van de leverancier.

Stap 3 — Analyseer het bijgevoegde bankdocument forensisch. Controleer metadata (aanmaaksoftware, revisiehistorie), lettertypeconsistentie en de aanwezigheid van verwachte beveiligingskenmerken. Handmatige visuele controle is hiervoor niet betrouwbaar genoeg zodra een document met AI is gegenereerd of gemanipuleerd.

Stap 4 — Vergelijk het nieuwe IBAN met de betalingshistorie. Elke afwijking ten opzichte van eerder gebruikte rekeningnummers activeert automatisch een blokkering totdat de wijziging is bevestigd via stap 2.

Stap 5 — Documenteer en escaleer volgens een vast protocol. Leg tijdstip, betrokken medewerkers en de gebruikte verificatiemethode vast. Bij een vermoeden van georganiseerde fraude is aangifte bij de politie de aangewezen route; zie de toelichting van politie.nl over CEO-fraude. Financiële instellingen en andere Wwft-plichtige organisaties hebben daarnaast een eigen meldingskader richting de toezichthouders.

Dit stappenplan sluit aan op het bredere verificatieproces voor leveranciersfacturen, waarin bankgegevenscontrole één van meerdere verplichte controlepunten is naast KvK- en btw-verificatie.

Regelgeving en toezicht in Nederland

Wwft-plichtige instellingen — banken, betaalinstellingen en bepaalde adviesorganisaties — moeten ongebruikelijke transacties melden bij de Financial Intelligence Unit Nederland conform de Wet ter voorkoming van witwassen en financieren van terrorisme. De Nederlandsche Bank (DNB) concludeerde in 2026 dat banken en betaalinstellingen weliswaar actief inzetten op fraudebestrijding, maar dat er nog ruimte is voor een gerichtere aanpak van betaalfraude — een signaal dat ook leveranciers en hun financiële tegenpartijen raakt, aangezien fraudeurs bewust kiezen voor kanalen met de zwakste controle. De Autoriteit Financiële Markten (AFM) publiceert aanvullende leidraden over interne controleprocedures bij betaaldiensten. Voor niet-financiële bedrijven bestaat geen directe meldplicht bij deze toezichthouders, maar aangifte bij de politie en een melding bij de Fraudehelpdesk blijven altijd aan te raden, ook om andere organisaties te waarschuwen voor dezelfde fraudegolf.

De rol van geautomatiseerde documentverificatie

Handmatige controle van elk wijzigingsverzoek is in theorie mogelijk bij lage volumes, maar schaalt niet mee met groeiende bedrijven of gedeelde shared-service-centers die honderden leveranciers beheren. Geautomatiseerde documentverificatie voegt een laag toe die menselijke beoordelaars structureel missen: forensische analyse van documentmetadata, kruisvalidatie tegen eerder ontvangen documenten van dezelfde leverancier, en signalering van patronen die kenmerkend zijn voor AI-gegenereerde content.

Onze aanpak combineert meerlaagse analyse — structureel, metadata, inter-documentaire coherentie — met een aanvullende, configureerbare laag van signalen voor AI-gegenereerde inhoud, ingezet naargelang het risiconiveau van de sector en het documenttype. Dit type analyse werkt als aanvulling op, niet als vervanging van, de telefonische verificatie en het vier-ogenprincipe die de basis blijven van een goed crediteurenproces. Zie ook onze oplossing voor bancaire KYC- en betaalverificatie en de technische achtergrond op onze beveiligingspagina.

Voor een compleet overzicht van documentverificatie per sector, inclusief specifieke aandachtspunten voor financiële dienstverlening, verwijzen we naar onze gids over sectorspecifieke documentverificatie. Prijsopties voor geautomatiseerde verificatie op basis van volume staan op onze tariefpagina.

CheckFile analyseert uw dossiers en signaleert aanwijzingen van AI-gegenereerde inhoud als aanvulling op uw bestaande controles — geen enkel systeem, geautomatiseerd of menselijk, garandeert dat elke vervalsing wordt onderschept, maar de combinatie van forensische analyse en een strak proces reduceert het risico aanzienlijk. Meer over deze aanpak vindt u op onze pagina over detectie van AI-gegenereerde en vervalste documenten.

Veelgestelde vragen

Hoe herken ik of een bankdocument bij een wijzigingsverzoek AI-gegenereerd is?

Visuele kenmerken zoals logo's, lettertypen en lay-out zijn bij moderne AI-vervalsingen vaak nauwelijks te onderscheiden van een echt document. De meest betrouwbare aanwijzingen zitten in de documentmetadata (aanmaaksoftware, revisiegeschiedenis) en in inconsistenties tussen het document en eerder ontvangen, authentieke documenten van dezelfde leverancier of bank. Forensische metadata-analyse is daarom effectiever dan een visuele beoordeling.

Wat is het verschil tussen CEO-fraude en factuurfraude met valse bankgegevens?

Bij CEO-fraude doet de aanvaller zich voor als een bestuurder die een dringende, vaak vertrouwelijke overboeking eist. Bij factuurfraude met valse bankgegevens doet de aanvaller zich voor als een bestaande leverancier die zijn rekeningnummer wijzigt. Beide vormen worden steeds vaker gecombineerd met Business Email Compromise en met een vervalst bankdocument als "bewijsstuk", waardoor het onderscheid in de praktijk vervaagt.

Moeten wij een vermoeden van valse bankgegevens melden bij een toezichthouder?

Voor bedrijven buiten de financiële sector bestaat geen directe wettelijke meldplicht bij DNB of AFM. Wel is het sterk aan te raden aangifte te doen bij de politie en een melding te maken bij de Fraudehelpdesk, zodat andere organisaties tijdig kunnen worden gewaarschuwd. Wwft-plichtige instellingen, zoals banken en betaalinstellingen, zijn wel verplicht ongebruikelijke transacties te melden bij FIU-Nederland.

Kan een bank een frauduleuze overboeking nog terugdraaien?

Terugvordering is mogelijk maar niet gegarandeerd en hangt sterk af van de snelheid van melden. Hoe eerder de ontvangende bank wordt geïnformeerd, hoe groter de kans dat het bedrag nog kan worden teruggeboekt voordat het is doorgesluisd. Bij een Nederlandse ontvangende rekening biedt de procedure voor het opvragen van NAW-gegevens bij niet-bancaire fraude aanvullende mogelijkheden om het bedrag via een civiele procedure terug te vorderen.

Is telefonische verificatie nog nodig als we al geautomatiseerde documentcontrole gebruiken?

Ja. Geautomatiseerde documentverificatie verhoogt de detectiekans van vervalste bankdocumenten aanzienlijk, maar vervangt niet de onafhankelijke, menselijke bevestiging via een bekend contactkanaal. De combinatie van beide — technologie voor documentanalyse en een vast telefonisch verificatieproces — biedt de sterkste bescherming tegen dit type fraude.