Overheid en bedrijfsleven waarschuwen voor CEO-fraude in coronatijd

Het Anti Money Laundering Centre (AMLC), advies- en accountantsorganisatie PwC, de NVB en de FIOD waarschuwen bedrijven om alert te zijn op zogenoemde CEO-fraude. Bij deze vorm van fraude doen criminelen zich voor als de CEO van een bedrijf. Zij vragen de financiële administratie om grote geldbedragen over te maken. Het geld wordt daarna zeer snel en op verhullende wijzen overgeboekt of verplaatst.

CEO-fraude past goed in de huidige situatie waarin medewerkers zoveel mogelijk vanuit huis werken. De fysieke afstanden tussen medewerkers en het bedrijf en/of CEO zijn hierdoor groter dan normaal. Ook organisatorische en technische beveiligingen die binnen het bedrijf geregeld zijn, zijn kwetsbaarder voor fraude door vanuit huis te werken.

Grote criminele organisaties
Criminelen die zich bezighouden met deze fraude zijn veelal onderdeel van grote organisaties. Niet alleen het verkrijgen van het geld is georganiseerd, maar ook het daarna snel doorsluizen en verhullen van de bancaire gelden.

Het nadeel van stortingen op bankrekeningen is dat het spoor goed te volgen is waardoor zowel de identiteit van de fraudeur als het verdwenen geld te achterhalen is. Om dit te verhullen, maken deze organisaties gebruik van diverse structuren die als witwassen te typeren zijn. Gedacht kan worden aan het overboeken naar rekeningen in het buitenland (op naam van stromannen) of het contant opnemen en daarna weer storten van het geld. Ook kan het geld gebruikt worden om snel goederen te kopen die eenvoudig omgezet kunnen worden naar geld of andere goederen.

Werkwijze CEO-fraude
De laatste jaren zijn er meer criminelen actief die bedrijven ten onrechte bedragen laten overmaken. Deze, vaak cybercriminelen, hebben gedegen vooronderzoek gedaan. Zij kennen de bedrijfsstructuur, opmaak van interne e-mails en manier van communiceren van de CEO. Daarnaast kennen ze de organisatiestructuur en weten ze welke personen bevoegd zijn om transacties te verrichten.

CEO-fraude gaat in de regel in twee stappen. Eerst wordt de medewerker gevraagd of hij tijd heeft om een belangrijke transactie voor de CEO te verrichten. Daarna krijgt deze medewerker de details van deze, meestal vertrouwelijke, transactie. Vaak wordt gezegd dat het grote urgentie heeft. Dit brengt de medewerker in kwestie in een lastige situatie: de inhoud en opmaak van de e-mails geven geen aanleiding tot twijfel, de medewerker voelt zich vaak vereerd dat hij of zij in vertrouwen is genomen door de hoogste baas van het bedrijf die hij of zij vaak niet persoonlijk kent en zal zich bezwaard voelen dit verzoek in twijfel te trekken. Daarnaast ervaart de medewerker de tijdsdruk en is sneller geneigd te voldoen aan het verzoek.

Geavanceerdere fraudes
In de laatste 12 maanden heeft PwC gezien dat de uitgevoerde fraudes steeds geavanceerder worden. Er zijn meerdere voorbeelden waarbij de cybercriminelen niet alleen informatie van buitenaf gebruikten voor hun vooronderzoek, maar daadwerkelijk digitaal inbraken bij organisaties om zoveel mogelijk informatie te krijgen om de fraude vorm te geven. Dit gaat zover dat de criminelen toegang hadden tot de e-mailbox van bestuurders en zo konden kennisnemen van aankomende grote transacties.

Het is belangrijk voor organisaties om vast te stellen of er aanpassingen hebben plaatsgevonden op bijvoorbeeld interne procedures en beheersmaatregelen waardoor mogelijk risico’s zijn ontstaan. Criminelen verplaatsen zich zeer goed in de rol van diverse medewerkers in een organisatie en zien direct waar kwetsbaarheden zitten. Hier is ook een rol weggelegd voor de accountant die een belangrijke rol speelt bij het identificeren van deze kwetsbaarheden in de processen die mogelijk een frauderisicofactor kunnen vormen in de controle. Als alle partijen, waaronder de organisatie zelf, de accountant, banken en dergelijke met elkaar samenwerken, hebben criminelen geen vrij spel meer.

Aangifte doen
Bedrijven zijn bij CEO-fraude vaak bang voor de imagoschade die zij kunnen oplopen bij het uitlekken van het feit dat zij slachtoffer zijn geweest van CEO-fraude. De FIOD benadrukt wel aangifte te doen en de betrokken bank te informeren van het feit. Op die manier kunnen maatregelen genomen worden en komen de criminelen niet weg met hun criminele daden. Daarnaast kan zo meer kennis vergaard worden welke modus operandi gebruikt wordt door criminelen en welke netwerken gebruikt worden om de gelden weg te sluizen. De opgedane kennis kan door zowel accountants, banken als opsporing gerichter ingezet worden op preventie door de overheid én bedrijven.

Informatie:
PwC, Rutger Schuil, persvoorlichter, 06-8316 5524
NVB, Jelle Wijkstra, woordvoerder, 06-4266 4599
AMLC, Adriaan Ros, persvoorlichter, 06-1830 4204