AI-factuurfrande in de EU: wat de Europol-data betekent voor jou

Jouw crediteurenafdeling verwerkt tientallen inkomende facturen per maand. Eén daarvan ziet er perfect uit, maar klopt van geen kant. Dat is precies het scenario waar Europol voor waarschuwt.

Wat de Europol-data feitelijk zegt

In het rapport IOCTA 2024 (Internet Organised Crime Threat Assessment) signaleert Europol een sterke toename van zogeheten Business Email Compromise (BEC) aanvallen waarbij AI wordt ingezet om overtuigende nepfacturen te produceren. Drie trends springen eruit:

• Grootschalige personalisatie. Criminelen scrapen openbare handelsinformatie (KvK-gegevens, LinkedIn, websites) en genereren facturen die qua lay-out, btw-nummer en IBAN naadloos aansluiten op een bekende leverancier.
• Hogere slagingskans bij mkb. Grote ondernemingen hebben doorgaans een geformaliseerd four-eyes-principe. Mkb-bedrijven met vijf tot dertig medewerkers verwerken facturen vaak via één persoon, zonder geautomatiseerde tegencontrole.
• Raak snel, verdwijn snel. Frauduleuze IBAN-nummers worden binnen 24 tot 48 uur na eerste betaling geleegd. Terugvordering via de bank lukt zelden.

Voor een B2B-dienstverlener met een stabiele klantenkring van dertig tot vijftig vaste leveranciers is het risico concreet: een nep-factuur van €8.400 voor "softwarelicenties Q3" die eruitziet als die van een leverancier waarmee je al drie jaar werkt, wordt eerder goedgekeurd dan geweigerd.

Waarom AI het spel fundamenteel verandert

Vroeger verraadden phishing-facturen zichzelf door slechte opmaak, vreemd taalgebruik of een IBAN uit een onverwacht land. Die signalen verdwijnen snel.

De drie wapens van de AI-fraudeur

1. Groottalige taalmodellen (LLM's) schrijven foutloze Nederlandse factuurteksten inclusief correcte btw-vermeldingen en betalingstermijnen.
2. Generatieve beeldmodellen klonen logo's, lettertypen en kleurpaletten van bestaande leveranciers op pixelniveau.
3. Geautomatiseerde IBAN-substitutie vervangt enkel het rekeningnummer, terwijl alle andere gegevens kloppen. Je boekhoudsoftware herkent het btw-nummer en boekt de factuur zonder alarm.

Het resultaat: een factuur die bij een oppervlakkige controle door alle zeefjes glipt. Europol meldt dat de gemiddelde fraudeschade per mkb-incident in de EU inmiddels boven de €15.000 uitkomt.

Hoe je accounts-payable-verificatie vandaag al aanscherpt

Dit is geen IT-project voor volgend kwartaal. De maatregelen hieronder kosten je geen grote investering, maar vragen wel discipline.

1. Verifieer IBAN-wijzigingen altijd buiten de e-mail om

Een gewijzigd bankrekeningnummer in een factuur of e-mail is het klassieke aanvalsvector. Bel de leverancier op een nummer uit jouw eigen systeem, niet het nummer in de mail.

2. Leg een leveranciersregister aan met verwachte factuurbedragen

Ken je vaste leveranciers en hun gebruikelijke factuurbedragen. Een abonnement dat normaal €320 per maand kost maar ineens €3.200 vraagt, valt direct op als je een referentiekader hebt.

3. Koppel betaling aan een inkooporder of contract

Voor alles boven een intern drempelbedrag (stel: €1.000) matcht de factuur verplicht aan een inkooporder of getekend contract. Geen match, geen betaling.

4. Voer een twee-handtekeningenregel in boven een vastgesteld bedrag

Bepaal intern een grens, bijvoorbeeld €2.500. Elke betaling daarboven vereist goedkeuring van een tweede persoon die de originele leveranciersgegevens zelfstandig verifieert.

5. Train je team op de nieuwe AI-signalen

De klassieke spelfouten zijn weg. Train medewerkers om te letten op: een IBAN-land dat niet overeenkomt met het leveranciersland, een factuurnummer dat niet past in de reeks, en een afwijkende opmaak van de btw-specificatie.

Het bovenstaande geldt voor de facturen die jij verstuurt. Maar het principe is hetzelfde: hoe minder handmatige handelingen en hoe meer traceerbaarheid, hoe kleiner het raakvlak voor fraude.

Wat de regelgever verwacht van jou als ondernemer

De EU werkt via de NIS2-richtlijn aan bredere cybersecurityverplichtingen voor bedrijven in kritieke sectoren. Mkb-bedrijven vallen er meestal buiten, maar rechtbanken en verzekeraars kijken steeds vaker of je "redelijke maatregelen" hebt genomen bij fraudeschade.

Praktisch betekent dit:

• Documenteer je verificatieprocedure. Wie controleert wat, en hoe? Een eenpagina-protocol volstaat.
• Meld fraude bij de politie én bij jouw bank. Aangifte creëert een dossier dat noodzakelijk is voor eventuele verzekeringsclaims.
• Controleer je cyberverzekering. Dekt die ook BEC-fraude, of enkel ransomware? Veel polissen maken dat onderscheid.

De kans dat een verzekeraar uitkeert bij BEC-fraude is aanzienlijk kleiner als jij geen aantoonbaar beleid had. Dat maakt interne procedures niet alleen operationeel slim, maar ook financieel relevant.

De kern van het probleem is geen technologie

AI-factuurvervalsing is angstaanjagend effectief omdat het inspeelt op vertrouwen, niet op technische kwetsbaarheden. Jij vertrouwt een leverancier waarmee je drie jaar zaken doet. De fraudeur misbruikt precies dat vertrouwen door die factuur zo geloofwaardig mogelijk te maken.

De oplossing is niet complexer software. Het is een helder intern protocol, een sceptische tweede blik bij onverwachte wijzigingen, en systemen die traceerbaarheid inbouwen in plaats van handmatig toevoegen. Wie dat nu regelt, betaalt geen €15.000 lesgeld later.