Drie incidenten, één aanpak: de aanvaller kwam binnen als iemand die de medewerker vertrouwt
Een Nederlandse telecomaanbieder, een Britse webwinkel en een Duits bedrijf. Drie incidenten, elk met een andere afloop. Bij Odido kwamen gegevens uit een klantcontactsysteem in handen van criminelen. Bij ASOS kregen onbevoegden toegang tot klantgegevens op platforms die het bedrijf gebruikt. Het Duitse bedrijf maakte volgens Security.nl in ongeveer zestig overboekingen ruim vijftig miljoen euro over aan fraudeurs. In alle drie de gevallen deed de aanvaller zich voor als iemand die de medewerker vertrouwde.
Vertrouwen is de ingang
Odido meldt dat de aanvaller op 5 en 6 februari contact opnam met het eigen serviceteam en zich voordeed als medewerker van de IT-afdeling. ASOS schrijft dat een onbevoegde toegang kreeg tot het account van een medewerker door zich voor te doen als een vertrouwd contact. In de Duitse zaak deden fraudeurs zich voor als de leidinggevende van een financieel manager. Het Landesarbeitsgericht Köln stelde die manager in juli aansprakelijk voor de schade. Die uitspraak is nog niet definitief.
Wie een verzoek krijgt van iemand die hij vertrouwt, kan minder alert worden op risico’s. Dat is geen onoplettendheid, maar hoe vertrouwen werkt. Een aanvaller maakt daar gebruik van.
Een vierogenprincipe, en toch ging het mis
In de Duitse zaak bestonden de maatregelen. Het bedrijf hanteerde een vierogenprincipe voor betalingen, en WhatsApp was op zakelijke telefoons geblokkeerd. De manager vroeg een collega om de tweede beoordeling, maar gaf met een beroep op vertrouwelijkheid geen details. Het verdere overleg liep via een privé-telefoon.
Zo werkt samenwerking in de praktijk. Een collega die om hulp vraagt, wordt geholpen, zeker als er haast bij is of als het vertrouwelijk heet. Zo hoort een organisatie ook te functioneren. Het betekent wel dat een procedure alleen beschermt als vooraf duidelijk is wat er gebeurt wanneer iemand vraagt om er even van af te wijken.
Bewustwording alleen is niet genoeg
De Duitse manager had een paar weken voor de fraude nog een training over ceo-fraude gevolgd. Bewustwording blijft nodig, maar het gaat om meer dan het herkennen van phishing. Het gaat ook om duidelijke afspraken: wanneer mag iemand afwijken van de vaste route, hoe wordt een verzoek bevestigd via een tweede, bekend kanaal, en wat mag een tweede beoordelaar altijd zien, ook als iets vertrouwelijk heet? En om praktische hulpmiddelen die het veilige gedrag makkelijk maken, zoals een vast nummer om terug te bellen.
Daaronder ligt de cultuur. Het begint bij medewerkers die weten wat ze kunnen doen als het toch misgaat, en die zich vrij voelen om dat te melden. Volgens het NCSC-gedragsonderzoek Alert Online 2026 meldt een derde van de werknemers een eigen fout altijd. Hoe eerder een vreemd verzoek of een verkeerde klik bekend is, hoe eerder een organisatie kan ingrijpen.
Wat dit betekent voor uw organisatie
Deze incidenten verschillen in sector, omvang en afloop. De aanpak was steeds dezelfde: een verzoek van iemand die de medewerker vertrouwde, op een moment dat de vaste route even niet leek te gelden. Daarmee ligt het antwoord niet alleen in techniek of training, maar ook in afspraken en cultuur. Welke verzoeken mogen in uw organisatie de procedure opzij zetten, hoe stelt u vast dat zo’n verzoek echt is, en weten medewerkers wat ze kunnen doen als ze twijfelen?
