Je leverancier heeft een nieuw rekeningnummer. Weet je zeker dat hij het zelf is?

Bij factuurfraude hoeft een oplichter niets te verzinnen. Hij onderschept een bestaande factuur en verandert alleen het rekeningnummer. Bedrag, factuurnummer en omschrijving kloppen, dus de factuur valt in je administratie nergens op. De Fraudehelpdesk noemt het daarom ook lastig te herkennen.

Hoe komt een oplichter aan die factuur? Soms via de post, met een sticker of stempel over het oude nummer. Vaker digitaal: een mailbox van de leverancier is overgenomen, of er zit malware op een computer die facturen aanpast voordat ze verstuurd worden. Het NCSC beschrijft een geval waarin criminelen zelfs de tweestapsverificatie van een mailaccount omzeilden en vanuit dat echte account facturen met een ander rekeningnummer stuurden.

Daarnaast zijn er spookfacturen: rekeningen voor iets wat nooit geleverd is, of een aanbieding die eruitziet als factuur. Die zijn vaak beter te herkennen. De variant met het gewijzigde rekeningnummer is gevaarlijker, omdat alles verder echt is.

Fraudeurs mikken op momenten waarop een administratie onder druk staat. December is zo'n moment. Er moet veel betaald worden voor de jaarafsluiting, collega's zijn vrij en vervangers kennen de leveranciers minder goed. Wie snel een stapel facturen wegwerkt, kijkt minder scherp naar één regel met een IBAN.

Let op de signalen die keer op keer terugkomen:

• Haast. "Graag vandaag nog voldoen, anders stopt de levering."
• Een smoes. Een bankfusie, een accountantsbezoek of een tijdelijke rekening om uit te leggen waarom het nummer anders is.
• Een buitenlandse rekening. Een Nederlandse leverancier die ineens naar een rekening in het buitenland wil.
• Een nieuw telefoonnummer. Bij het verzoek staat een nummer om te bellen "als je vragen hebt". Bel nooit dat nummer: het kan net zo goed van de oplichter zijn.

Het lastige is dat elk signaal op zich onschuldig kan zijn. Leveranciers wisselen echt wel eens van bank. Daarom werkt een vaste afspraak beter dan scherp opletten. De Fraudehelpdesk Zakelijk adviseert in de kern hetzelfde:

• Bel terug op een bekend nummer. Een gewijzigd rekeningnummer controleer je telefonisch, via het nummer dat al in je administratie staat. Nooit via het nummer uit de mail.
• Vier ogen bij elke wijziging. Wie een nummer aanpast, keurt het niet zelf goed.
• Geen uitzondering onder druk. Hoe dringender het verzoek, hoe strikter de procedure. Ook als de "directeur" zelf om spoed vraagt, mag een collega altijd even kortsluiten.

Gaat het toch mis, bel dan direct je bank om te kijken of de betaling nog terug te halen is, doe aangifte bij de politie en waarschuw je relaties.

Sinds 9 oktober 2025 moeten banken in de eurozone bij een overboeking de naam van de ontvanger naast het rekeningnummer leggen. Dat heet Verification of Payee. Je ziet dan of de naam klopt, bijna klopt, niet klopt of niet te controleren is. In Nederland kende je zo'n controle al langer bij losse overboekingen.

Dat is een goede extra drempel. Toch is het geen garantie:

• De melding is een waarschuwing, geen blokkade. Je kunt de betaling na een melding gewoon bevestigen. In een drukke week klikt iemand dat zo weg.
• Betaalbatches. Zakelijke klanten die betalingen als bundel aanbieden, mogen zich volgens de Europese regels afmelden voor deze controle. Wie zijn crediteuren vanuit het boekhoudpakket in één batch betaalt, krijgt dus niet altijd per regel een naamcheck.
• Een naam die erop lijkt. Opent een oplichter een rekening op een naam die sterk lijkt op die van je leverancier, dan geeft de check een gedeeltelijke match. Voor een haastige collega ziet dat er al snel goed genoeg uit.

De beste plek om fraude tegen te houden is dus niet het moment van betalen, maar het moment waarop het rekeningnummer in je administratie verandert.

Werk je met AFAS Profit, dan kun je die poort gewoon dichtzetten. Profit heeft een workflow voor het beoordelen van bankrekeningen. Zet je die aan, dan wordt een nieuwe bankrekening van een crediteur pas gebruikt als iemand hem heeft goedgekeurd. Dat geldt niet alleen als een collega het nummer handmatig invoert, maar ook bij een import, via een UpdateConnector en bij het inlezen van bankafschriften.

Dat laatste is belangrijk. Veel bedrijven hebben koppelingen die automatisch relaties en gegevens in AFAS zetten, bijvoorbeeld vanuit een webshop, een inkoopsysteem of een scan- en herkenningsdienst. Zonder beoordeling komt een vals nummer zo ongemerkt binnen. Met de workflow staat er altijd een mens tussen.

Als AFAS Partner sinds 2016 richten wij dit voor je in. We maken een eigen workflow op basis van de standaard, bepalen wie mag goedkeuren en zorgen dat degene die een wijziging invoert, hem niet zelf kan goedkeuren. Oude rekeningnummers die niet meer gebruikt mogen worden, kun je in Profit blokkeren. En bouwen wij een koppeling met je webshop of ander systeem, dan houden we rekening met die beoordeling, zodat automatisering en controle elkaar niet in de weg zitten.

Werk je projectmatig en verstuur je zelf veel facturen vanuit AFAS? Dan helpt een vaste werkwijze van offerte tot factuur ook aan de andere kant. Daarover lees je meer in onze blog over SolutionDesk, het werkplatform voor AFAS-organisaties.

Factuurfraude werkt twee kanten op. Wordt jouw mail misbruikt, dan betalen je klanten aan een oplichter. Het geld is weg, je wacht op je betaling en de relatie met je klant krijgt een deuk. Daarom gaat het ook om je eigen afzender en systemen.

• Een beveiligd maildomein. Met SPF, DKIM en DMARC kan niemand zomaar mail versturen die van jouw domein lijkt te komen. Hoe dat werkt, lees je in onze blog Je mail is verstuurd. Maar is hij ook aangekomen? Wij zetten dit voor je goed en houden de rapportages in de gaten.
• Tweestapsverificatie overal. Op de mailbox van de administratie, op je boekhouding en op het beheer van je website of webshop. Websites en webshops die wij bouwen op My Media Editor hebben tweestapsverificatie, automatisch uitloggen en een logboek van elke wijziging.
• Vaste betaalgegevens op een vaste plek. Zet je rekeningnummer ook in je algemene voorwaarden en op je website. Dan kan een klant bij twijfel zelf vergelijken.
• Nooit een wijziging per mail. Spreek met je klanten af dat jij een nieuw rekeningnummer nooit alleen per mail doorgeeft. Dan weten ze dat zo'n mail niet van jou kan zijn.

Wil je weten waar in jouw administratie een vals rekeningnummer zou kunnen binnenkomen? Wij lopen samen met je na hoe facturen, koppelingen en wijzigingen in AFAS nu lopen, en zetten de beoordeling van bankrekeningen voor je aan. Ook je maildomein en website nemen we daarin mee. Neem contact op, dan plannen we een moment.