Bij deepfake-fraude kloont een oplichter de stem of het gezicht van een directielid en vraagt in een videogesprek om een dringende overschrijving. Wereldwijd kostte dat bedrijven in 2025 ongeveer 930 miljoen euro, drie keer zoveel als het jaar ervoor.
In februari 2024 maakte de politie van Hongkong de zaak bekend die het schoolvoorbeeld werd. Een financieel medewerker van het ingenieursbureau Arup kreeg een mail van de financieel directeur in Londen over een vertrouwelijke transactie. Hij vertrouwde het niet, tot hij in een videovergadering belandde met die directeur en enkele collega’s. Alle gezichten en stemmen waren nagemaakt. Hij voerde vijftien overschrijvingen uit, samen 200 miljoen Hongkongse dollar of ongeveer 25 miljoen dollar.
De techniek is sindsdien goedkoper en beter geworden. Volgens cijfers van Surfshark, aangehaald door de Nederlandse zender BNR in februari 2026, steeg de wereldwijde schade door deepfake-fraude van ongeveer 304 miljoen euro in 2024 naar 930 miljoen euro in 2025. De bankenfederatie Febelfin schrijft in haar brochure over betaalfraude bij ondernemingen van 2026 dat met AI “tegenwoordig zelfs een CEO” kan worden geïmiteerd, een nieuwe variant van de CEO-fraude die we eerder beschreven bij social engineering.
Hoe deepfake-fraude in zijn werk gaat
De aanval begint zelden in de videocall zelf. Eerst komt een bericht via WhatsApp of mail, zogezegd van de CEO of de financieel directeur, over een overname of een betaling die geheim moet blijven. De oplichter bouwt druk op met tijd en vertrouwelijkheid. Pas daarna volgt het gesprek, met een stem of een gezicht dat uit publieke video’s is gekloond, zoals een keynote op YouTube of een interview. Het is een van de vormen waarmee AI-gestuurde aanvallen de beveiliging onder druk zetten.
Ferrari en WPP
Bij de Italiaanse autobouwer Ferrari liep het in juli 2024 volgens dat patroon. Een manager kreeg WhatsApp-berichten en daarna een telefoontje met de nagemaakte stem van CEO Benedetto Vigna over een grote overname. De manager vroeg welk boek Vigna hem enkele dagen eerder had aanbevolen. De beller hing op.
Bij reclamegroep WPP probeerden oplichters in mei 2024 hetzelfde via een Teams-vergadering met een stemkloon van topman Mark Read. Ook die poging mislukte.
Labels en lobby in Teams
Een beeld dat even hapert of een stem die net te vlak klinkt, verraadt nog een deel van de pogingen. Daar bouw je geen beleid op, want de kwaliteit van de klonen stijgt. Teams helpt met labels: deelnemers van buiten de organisatie krijgen de vermelding “Extern”, anonieme deelnemers “Niet geverifieerd” en gasten “Gast”. Een beheerder kan anonieme toegang uitschakelen en de lobby zo instellen dat alleen de organisator deelnemers binnenlaat. Sinds februari 2026 waarschuwt Teams bovendien bij oproepen die een bekend merk nabootsen.
Organiseert de oplichter zelf de vergadering, vanaf een account dat op dat van de CEO lijkt, dan staat er geen vreemde in de lobby. Loopt het gesprek via de telefoon, dan komen de labels er niet aan te pas.
Terugbellen en twee handtekeningen
Febelfin en de federale politie leggen de verdediging bij de betaalprocedure en geven hetzelfde advies. Een dringend betaalverzoek verifieer je altijd via een tweede kanaal, door de aanvrager terug te bellen op een nummer dat je al kende, nooit op het nummer uit het bericht. De Amerikaanse FBI voegde daar in mei 2025 een codewoord aan toe dat directie en financiële dienst onderling afspreken en dat in geen enkel systeem staat.
Daarnaast raadt Febelfin aan om overschrijvingen boven een bepaald bedrag door twee personen te laten goedkeuren, nooit dezelfde persoon voor beide handtekeningen. Spreek af dat niemand die regel mag doorbreken, ook de echte directie niet. Een CEO die zelf de betaling eist en de controle wil overslaan, is dan het signaal om te stoppen. Oefen dat af en toe met een gesimuleerd verzoek, zoals bedrijven dat al doen met phishingmails.
Als het toch gebeurt
Meld een poging altijd bij de politie, ook als er geen geld vertrok; de federale politie vraagt dat uitdrukkelijk. Is er wel betaald, verwittig dan meteen de bank. Febelfin schrijft dat Belgische banken driekwart van de frauduleuze overschrijvingen bij phishing kunnen tegenhouden of terugvorderen als ze snel op de hoogte zijn. In Singapore recupereerde de politie in april 2025 een bedrag van 670.000 Singaporese dollar nadat een financieel directeur na een deepfake-videogesprek had betaald.
In België is tot nu toe geen zaak van deepfake-fraude via een videogesprek publiek gemaakt. Febelfin publiceert ook geen aparte cijfers voor CEO-fraude. De brochure van 2026 en de stijgende meldingen bij Safeonweb, ruim 42.000 per dag in maart 2026, zijn voor de bankenfederatie reden genoeg om bedrijven nu al een betaalprocedure met terugbelcontrole aan te raden.
