AI-fraude in het MKB: hoe bescherm je jouw organisatie?

AI-fraude kan iedere organisatie raken. Oplichters kunnen kunstmatige intelligentie gebruiken om zich overtuigend voor te doen als een collega, klant, leverancier of leidinggevende. Hun doel kan een betaling zijn, maar ook toegang tot accounts, vertrouwelijke documenten of bedrijfsgegevens.

Het verkleinen van dit risico vraagt om een combinatie van technische beveiliging, duidelijke werkafspraken en training.

Wat een Italiaanse fraudezaak duidelijk maakt

Reuters berichtte op 25 september 2026 over fraude bij Fideuram, onderdeel van Intesa Sanpaolo. Volgens twee bronnen begon de fraude in februari met een WhatsApp-bericht dat afkomstig leek van de topman. De toenmalige voorzitter werd gevraagd dringend te helpen met een buitenlandse transactie.

Daarna volgde een telefoongesprek met iemand die zich voordeed als een partner van een advocatenkantoor. Volgens de berichtgeving gebruikten de oplichters AI om de stem van deze advocaat na te bootsen. Het gesprek bevestigde de opdracht, waarna meerdere betalingen werden uitgevoerd. In totaal zou circa 95 miljoen euro zijn overgemaakt. Een aanzienlijk deel werd later teruggehaald.

Het incident speelde bij een bank, maar de gebruikte methode kan ook andere bedrijven treffen: een aanvaller doet zich voor als een vertrouwde persoon en bouwt met meerdere contactmomenten een geloofwaardig verhaal op. Hetzelfde principe kan worden gebruikt om een medewerker bestanden te laten delen, toegang te laten verlenen of een beveiligingsinstelling te laten aanpassen.

Wat is AI-fraude?

AI-fraude is oplichting waarbij kunstmatige intelligentie wordt gebruikt om mensen te misleiden. Denk aan overtuigende berichten, nagebootste stemmen of vervalste beelden en video’s.

Bij stemklonen wordt iemands stem met AI nagebootst. Een deepfake is gemanipuleerd of gegenereerd beeld, video of geluid waarmee iemand anders kan worden voorgesteld. De FBI waarschuwt dat criminelen deze technieken gebruiken voor financiële fraude en misleiding.

Deze technieken versterken social engineering: het manipuleren van mensen om een handeling uit te voeren of informatie af te geven. Een bekende naam, herkenbare stem of professioneel geschreven bericht is daardoor onvoldoende bewijs dat een verzoek betrouwbaar is.

Hoe kan AI-fraude jouw bedrijf raken?

Niet alleen de financiële administratie krijgt met misleidende verzoeken te maken. Ook HR, sales, management, klantenservice en IT kunnen worden benaderd.

Onderstaande situaties zijn voorbeelden van verzoeken die extra controle verdienen:

• Vertrouwelijke informatie delen: een vermeende leidinggevende vraagt om personeelsgegevens, klantgegevens, contracten of offertes.
• Toegang verlenen: iemand doet zich voor als IT-support en vraagt om een verificatiecode, een inloggoedkeuring of toegang op afstand.
• Gegevens wijzigen: een zogenaamde leverancier vraagt om een ander rekeningnummer of afleveradres vast te leggen.
• Bestanden beschikbaar maken: een vermeende collega vraagt om een map extern te delen of documenten naar een privé-mailadres te sturen.
• Een betaling uitvoeren: een directeur of zakenpartner vraagt om een voorschot of spoedbetaling buiten de normale procedure.

Bij kleine bedrijven kunnen korte lijnen en onderling vertrouwen een rol spelen. Bij grotere organisaties kan onduidelijkheid ontstaan over verantwoordelijkheden tussen afdelingen of vestigingen. In beide gevallen helpt een vaste werkwijze voor afwijkende verzoeken.

Hoe verklein je het risico op AI-fraude?

1. Controleer afwijkende verzoeken onafhankelijk

Controleer een onverwacht verzoek voordat je geld overmaakt, informatie deelt of toegang verleent. Neem zelf contact op via een telefoonnummer of contactmogelijkheid die al betrouwbaar bekend is.

Gebruik daarvoor geen nieuw nummer of nieuwe link uit het bericht dat je probeert te controleren. Een bevestiging via een tweede kanaal biedt weinig zekerheid wanneer de aanvaller ook dat contact verzorgt.

2. Maak afspraken over gevoelige handelingen

Leg vast welke handelingen extra controle of goedkeuring vereisen. Denk aan het delen van personeelsgegevens, aanpassen van leveranciersgegevens, verlenen van externe toegang en uitvoeren van uitzonderlijke betalingen.

Bepaal wie mag goedkeuren en hoe de controle wordt vastgelegd. Zorg ook voor vervanging bij afwezigheid. Zo hoeven medewerkers onder tijdsdruk niet zelf een uitzondering te bedenken.

3. Beveilig accounts en beperk toegangsrechten

Gebruik multifactorauthenticatie, oftewel MFA, om een extra controle toe te voegen bij het inloggen. Deel geen verificatiecodes en keur geen onverwachte inlogverzoeken goed.

Geef medewerkers toegang tot de informatie en systemen die zij voor hun werk nodig hebben. Controleer ook wie bestanden extern mag delen en wie gevoelige instellingen kan wijzigen.

MFA en toegangsrechten hebben ieder hun functie. Ze beoordelen niet of een verzoek zakelijk klopt. Een medewerker met de juiste rechten kan nog steeds worden misleid om informatie te delen.

4. Combineer beheer met beveiliging

Laat je IT-partner beoordelen hoe accounts, werkplekken en e-mail zijn beveiligd en hoe verdachte activiteiten worden opgevolgd.

Binnen ManagedIT Pro combineert Unicomm onder meer werkplekbeheer, e-mailbeveiliging en security awareness. Bekijk hoe wij IT-beheer en beveiliging combineren.

Technische maatregelen verkleinen bepaalde risico’s. Duidelijke werkafspraken blijven nodig voor verzoeken die via telefoon, WhatsApp of andere communicatiekanalen binnenkomen.

5. Train medewerkers op hun dagelijkse werk

Laat training aansluiten op de situaties die medewerkers tegenkomen. HR krijgt andere verzoeken dan de servicedesk of financiële administratie.

Oefen niet alleen met herkennen, maar ook met handelen. Wie belt een medewerker ter controle? Waar wordt een verdacht verzoek gemeld? En wat gebeurt er wanneer de vermeende directeur druk blijft uitoefenen?

Unicomm biedt phishingsimulaties, modulaire Nederlandstalige trainingen en rapportages. Bekijk hoe onze security awareness training medewerkers helpt bewuster met digitale dreigingen om te gaan.

Wat doe je als iemand toch op een verzoek is ingegaan?

Meld het direct bij de interne verantwoordelijke en je IT-partner. Vertel wat er is gebeurd: zijn gegevens gedeeld, is toegang verleend, is software geïnstalleerd of is geld overgemaakt?

De vervolgstappen hangen af van de situatie. Je IT-partner kan beoordelen of bijvoorbeeld toegang moet worden ingetrokken, een account moet worden beveiligd of een apparaat onderzocht. Neem bij een verdachte betaling ook direct contact op met de bank.

Bewaar de oorspronkelijke berichten, e-mails en relevante gegevens voor onderzoek. Maak intern duidelijk dat snel melden gewenst is, ook als een medewerker zelf een fout heeft gemaakt.

Veelgestelde vragen over AI-fraude

Kan AI-fraude ook ons bedrijf treffen?

Ja. Iedere organisatie die digitaal communiceert, informatie verwerkt of toegang tot systemen verleent, kan met misleidende verzoeken te maken krijgen.

Kun je een nagebootste stem herkennen?

Soms zijn afwijkingen hoorbaar, maar daarop kun je niet vertrouwen. Controleer een gevoelig verzoek onafhankelijk, ook wanneer de stem bekend klinkt.

Is AI-fraude hetzelfde als CEO-fraude?

Nee. Bij CEO-fraude doet iemand zich voor als een leidinggevende. AI kan daarbij worden ingezet, maar ook bij het nabootsen van klanten, leveranciers, collega’s of andere contactpersonen.

Is technische beveiliging voldoende?

Technische beveiliging helpt accounts, apparaten en communicatie te beschermen. Werkafspraken en training zijn daarnaast nodig om medewerkers te ondersteunen bij gevoelige verzoeken.

Hoe goed is jouw organisatie voorbereid?

Unicomm is strategisch IT-partner voor ambitieus MKB in Den Haag en het Westland. We ondersteunen organisaties met IT-beheer, beveiliging en security awareness.

Wil je weten hoe jullie beveiliging en medewerkers zijn voorbereid op misleidende verzoeken? Plan een kennismakingsgesprek met Unicomm. We bespreken jullie situatie en welke ondersteuning daarbij past.

Bronnen

• Reuters, 25 september 2026 — berichtgeving over fraude bij Fideuram, onderdeel van Intesa Sanpaolo.
• FBI/IC3 — Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud.