Wat is Business Email Compromise (BEC)?

Bij Business Email Compromise is er geen sprake van hacking. Een aanvaller doet zich voor als iemand die uw medewerkers al vertrouwen – een CEO, een leverancier of een bekende partner – en vraagt om iets dat alledaags klinkt: een spoedoverschrijving, bijgewerkte betalingsgegevens of een factuur die ter goedkeuring ligt. Geen malware, geen alarmsignalen, alleen een overtuigende e-mail die eruitziet alsof er niets aan de hand is. Het Internet Crime Complaint Center rangschikt BEC onder de cybermisdrijven met de grootste financiële schade, met gemiddelde kosten van een inbreuk inmiddels in de miljoenen lopen. Hier volgt precies hoe deze aanvallen te werk gaan.

Hoe werkt Business Email Compromise?

Bij een Business Email Compromise-aanval doet iemand zich voor als een collega of een vertrouwde partner en haalt het slachtoffer over om bijvoorbeeld toegang te verlenen, geld over te maken of informatie te delen. Om hun doel te bereiken, maken ze meestal gebruik van phishing, valse e-mails van de baas, valse facturen en e-mails die eruitzien alsof ze van iemand anders afkomstig zijn. Hoewel mensen zich tegenwoordig beter bewust zijn van deze aanvallen, vinden de kwaadwillenden nog steeds manieren om hen te misleiden. 

Bijvoorbeeld een groep hackers uit Rusland met de naam Cosmic Lynx heeft ingewikkelde Business Email Compromise-aanvallen uitgevoerd met behulp van phishing-e-mails die zeer goed zijn opgesteld, waardoor ze moeilijk te herkennen zijn. Deze cybercriminelen maken ook misbruik van mensen die thuiswerken door e-mails te versturen die eruitzien alsof ze afkomstig zijn van populaire tools die mensen gebruiken om samen te werken, en dit doen ze om wachtwoorden te stelen.

Uit rapporten van de FBI en andere bronnen, zoals Verizon, blijkt dat het aantal aanvallen in de vorm van ‘Business Email Compromise’ steeds vaker voorkomt. De belangrijkste reden waarom deze aanvallen succesvol zijn, ligt in de aanpak en niet in technische trucs. De daders van deze aanvallen volgen doorgaans een aantal stappen om hun oplichting te laten slagen:

1. Verkenning: Aanvallers doen onderzoek naar de doelorganisatie en verzamelen namen van leidinggevenden, relaties met leveranciers, lopende projecten en contactgegevens van het financiële team via LinkedIn, bedrijfswebsites en openbare databases.
2. Voorbereiding van het domein of account: Ze registreren domeinnamen die op de doelwitdomeinnamen lijken, vervalsen weergavenamen of breken in op een legitieme mailbox om deze als aanvalsmiddel te gebruiken.
3. Aanval via e-mail: Ze versturen e-mails via vervalste of op echte domeinen lijkende domeinen en valse afzendernamen.
4. Social engineering: Aanvallers doen zich voor als vertrouwde functionarissen en creëren een gevoel van urgentie om geld over te maken of gegevens te delen.
5. Financiële winsten: De laatste fase waarin financiële diefstal of een datalek plaatsvindt.
6. Verdoezeling: Aanvallers kunnen regels in de inbox instellen om bewijsmateriaal te verwijderen, antwoorden om te leiden of snel geld over te maken om terugvordering te voorkomen.

Waarom zijn BEC-aanvallen zo moeilijk te detecteren?

BEC-e-mails bevatten doorgaans geen malware. Ze bevatten geen bijlagen of voor de hand liggende links. Wat ze wel doen, is gebruikmaken van autoriteit, urgentie en vertrouwen om u te misleiden. Daarom worden BEC-e-mails niet vaak door spamfilters tegengehouden. BEC-e-mails zijn lastig te herkennen. Daarom is het erg belangrijk om te weten wie de e-mail verstuurt, zodat gebruikers leren waar ze op moeten letten, en om een goed systeem te hebben om te controleren of de e-mail echt is of niet. BEC-e-mails zijn sluw. 

BEC kan conventionele beveiligingsfilters omzeilen omdat:

• Inhoud in platte tekst: Veel BEC-e-mails bevatten geen schadelijke links, bijlagen of scripts, maar alleen een verzoek dat er heel normaal uitziet.
• Verzenders die er legitiem uitzien: Aanvallers vervalsen weergavenamen, gebruiken domeinen die op legitieme domeinen lijken, of versturen e-mails vanuit daadwerkelijk gehackte e-mailaccounts.
• Alledaagse zakelijke taal: Verzoeken worden geformuleerd als routinematige werkprocessen, zoals het goedkeuren van facturen, het bijwerken van salarisgegevens en het uitvoeren van overschrijvingen, waardoor ze moeilijk te onderscheiden zijn van legitieme communicatie.
• Vertrouwensrelaties: Aanvallers doen van tevoren onderzoek naar hun doelwitten en verwijzen daarbij naar echte collega’s, leveranciers of lopende projecten om geloofwaardig over te komen.
• Gecompromitteerde accounts: Wanneer een aanvaller gebruikmaakt van een daadwerkelijk gecompromitteerde inbox, doorstaat het bericht alle authenticatiecontroles omdat het afkomstig is van een echte, geautoriseerde mailbox.

Op wie zijn BEC-aanvallen meestal gericht?

BEC-aanvallen blijven niet beperkt tot grote ondernemingen. Elke organisatie die betalingen verstuurt of ontvangt, de salarisadministratie verzorgt of relaties met leveranciers onderhoudt, is een potentieel doelwit. Non-profitorganisaties lopen een vergelijkbaar risico door spamdonaties en carding-aanvallen waardoor het vertrouwen van donateurs en de betalingssystemen in het gedrang komen. Aanvallers richten zich op functies die bevoegd zijn om geld over te maken, verzoeken goed te keuren of toegang te krijgen tot gevoelige gegevens:

Veelvoorkomende soorten BEC-aanvallen

Volgens de richtlijnen van het FBI IC3 en CISA zijn de meest voorkomende en financieel schadelijke BEC-categorieën waarmee bedrijven momenteel te maken hebben:

Twee daarvan worden vaak onderschat. Fraude met leveranciersfacturen verloopt vaak precies zoals een echte leverancier een factuur verstuurt, en juist daarom ontgaat het een vluchtige controle. Reis- en boekingsfraude maakt gebruik van datzelfde vertrouwen: een e-mail waarin wordt verwezen naar een reisbrochure of een wijziging in het reisschema, die er zo alledaags uitziet dat een frequente zakenreiziger er zonder aarzelen op klikt.

Veelgebruikte BEC-technieken die aanvallers toepassen

Zo worden BEC-aanvallen technisch gezien uitgevoerd:

• Vervalste e-mailaccount of website: De aanvaller vervalst een e-mailadres of website die legitiem lijkt, waarbij soms gebruik wordt gemaakt van typosquatting of domeinen die op de echte lijken. Vanuit dit account versturen ze phishing-e-mails waarin om financiële gegevens of geldtransacties wordt gevraagd. DMARC, SPF en DKIM helpen voorkomen dat aanvallers uw domein rechtstreeks vervalsen. Bij BEC kan echter ook sprake zijn van gehackte accounts, lookalike-domeinen of het misbruiken van weergavnamen, dus e-mailverificatie moet worden gecombineerd met gebruikerstraining, MFA, leveranciersverificatie en monitoring van bedreigingen.
• Spoofing van de weergavenaam: De aanvaller gebruikt een legitiem ogende weergavenaam (bijvoorbeeld 'Naam CEO'), maar verstuurt de e-mail vanuit een ander domein. Ontvangers zien vaak alleen de weergavenaam in hun inbox, niet het daadwerkelijke afzenderadres.
• Het kapen van e-mailconversaties: Nadat ze een account hebben gehackt, mengen aanvallers zich in bestaande e-mailthreads om frauduleuze verzoeken geloofwaardiger te maken. Ontvangers vertrouwen het bericht omdat het deel uitmaakt van een echt, lopend gesprek.
• Spear-phishing-e-mails: Spear-phishing- zijn zeer gerichte e-mails die rechtstreeks naar specifieke medewerkers worden gestuurd, vaak naar medewerkers op de financiële afdeling of bij HR. Ze zijn vermomd als interne berichten van iemand binnen het bedrijf en hebben onderwerpen als 'dringende overschrijving' of 'dringende factuur'.
• Gebruik van malware: Aanvallers kunnen via kwaadaardige links of bijlagen schadelijke software op de computer van een slachtoffer installeren. Ze gebruiken malware om toetsaanslagen te registreren, schermafbeeldingen te maken of blijvende toegang tot het systeem te verkrijgen.

Hoe u Business Email Compromise kunt voorkomen

Een geslaagde BEC-aanval loopt al snel hoog in de kosten: directe verliezen, herstelkosten en de reputatieschade die daaruit voortvloeit. De onderstaande beheersmaatregelen bestrijken drie aspecten: technische authenticatie, processen en mensen.

1. Bescherm uw domein met DMARC, SPF en DKIM

SPF, DKIM en DMARC vormen hier de basismaatregelen. SPF bepaalt welke mailservers e-mail mogen versturen namens uw domein. DKIM voegt een digitale handtekening toe, zodat ontvangers kunnen controleren of een bericht niet is gemanipuleerd. DMARC bouwt voort op beide en stelt domeineigenaren in staat om in te stellen hoe ontvangers moeten omgaan met e-mails die de authenticatie niet doorstaan, terwijl het tegelijkertijd inzicht biedt in wie er daadwerkelijk namens het domein e-mails verstuurt.

Om BEC op basis van domeinspoofing tegen te gaan, moet DMARC op handhavingsniveau worden toegepast, en niet alleen ter monitoring:

• p=none: Houdt het verkeer in de gaten zonder de bezorging te beïnvloeden. Biedt geen daadwerkelijke bescherming tegen BEC.
• p=quarantaine: Stuurt verdachte e-mails naar de spam- of junkmap.
• p=afwijzen: Blokkeert berichten die de authenticatie niet doorstaan, de sterkste bescherming tegen directe domeinspoofing.

DMARC implementeren betekent dat u correct opgemaakte SPF-, DKIM- en DMARC-records in uw DNS publiceert. Het voorkomt directe domeinspoofing effectief, maar het detecteert geen gecompromitteerde mailboxen of lookalike-domeinen, dus beschouw het als een basismaatregel, niet als een volledige oplossing.

Het echte werk zit hem niet in het publiceren van een DMARC-record . Het gaat erom te weten welke diensten namens u berichten versturen, welke berichten mislukken en wanneer het veilig is om over te stappen van p=none naar enforcement. Regelmatige monitoring via DMARC-rapporten maakt het daadwerkelijk mogelijk om die beslissing te nemen, en platforms zoals PowerDMARC zetten de ruwe XML om in informatie waarop een team kan handelen.

2. Bescherming tegen phishing

Gebruik anti-phishing software en e-mailbeveiligingsgateways die inkomende e-mails scannen op schadelijke koppelingen, bijlagen en tekenen van social engineering om bedreigingen te blokkeren voordat ze gebruikers bereiken.

3. Scheiding van taken en betalingsprotocollen

Zorg ervoor dat cruciale taken, met name financiële transacties zoals overschrijvingen, niet door slechts één persoon worden uitgevoerd. Stel strikte protocollen op voor de goedkeuring van betalingen, waarbij meerdere autorisaties en een secundaire bevestiging buiten het normale proces om (bijvoorbeeld via een telefoongesprek of persoonlijke verificatie) vereist zijn voor verzoeken, met name voor dringende verzoeken of verzoeken waarbij wijzigingen in de betalingsgegevens worden aangebracht.

4. Externe e-mails labelen

Configureer uw e-mailsysteem zodanig dat e-mails die van buiten uw organisatie komen duidelijk gelabeld worden. Dit helpt medewerkers om mogelijk verdachte berichten die zich voordoen als interne afzenders snel te herkennen.

5. Bestudeer e-mailadressen en details zorgvuldig

Leer medewerkers om het e-mailadres van de afzender zorgvuldig te controleren op subtiele verschillen, typosquatting of domeinnamen die op elkaar lijken. Controleer of het „reply-to“-adres overeenkomt met het „van“-adres. Wees op uw hoede voor e-mails waarin urgentie of geheimhouding wordt geëist.

6. Uw werknemers opleiden

De beste verdediging tegen BEC-aanvallen is voorlichting en bewustwording van medewerkers. Medewerkers moeten inzicht krijgen in de dreiging van BEC, hoe het werkt, veelgebruikte tactieken (urgentie, zich voordoen als een autoriteit) en hoe zij het doelwit kunnen worden. Voer gesimuleerde phishingtests uit om de mate van bewustwording te peilen en moedig medewerkers aan om verdachte e-mails onmiddellijk te melden, zonder angst voor represailles.

7. Multi-Factor Authenticatie (MFA) inschakelen

Implementeer MFA voor alle e-mailaccounts en andere kritieke systemen. MFA biedt een extra beveiligingslaag naast het wachtwoord, waardoor het risico op misbruik van accounts aanzienlijk wordt verminderd, zelfs als inloggegevens worden gestolen.

8. Automatisch doorsturen van e-mail verbieden

Schakel het automatisch doorsturen van e-mails naar externe adressen uit. Aanvallers kunnen deze functie misbruiken om communicatie onopgemerkt te volgen of gevoelige informatie om te leiden nadat ze een account hebben gehackt.

9. Aanvullende beveiligingsprotocollen implementeren

Overweeg om de e-mailbeveiliging met:

• MTA-STS (Mail Transfer Agent Strict Transport Security): MTA-STS en TLS-RPT voorkomen social engineering niet, maar ze helpen legitieme e-mail tijdens het transport te beschermen en bieden rapportage over TLS-bezorgingsproblemen. Dankzij de gehoste MTA-STS- en TLS-RPT-diensten van PowerDMARC is het niet langer nodig om een aparte HTTPS-beleidsserver te onderhouden.
• BIMI (Brand Indicators for Message Identification): BIMI kan ontvangers helpen om geauthenticeerde e-mails van merken visueel te herkennen in ondersteunde inboxen. Het moet worden gezien als een laag die zorgt voor vertrouwen en zichtbaarheid, niet als een op zichzelf staande verdediging tegen BEC. BIMI vereist DMARC-handhaving. De BIMI- en VMC-ondersteuning van PowerDMARC vereenvoudigt de implementatie in de volledige certificaat- en hostingworkflow.
• Beheer van SPF-records: Het geautomatiseerde SPF-beheer van PowerDMARC helpt organisaties de limiet van 10 DNS-lookups voor SPF te omzeilen wanneer ze SaaS-tools, marketingplatforms en externe afzenders toevoegen. Dit vermindert handmatig DNS-werk en helpt authenticatiegerelateerde bezorgingsfouten te voorkomen.

10. Fraude melden

Als u een BEC-zwendel vermoedt of er slachtoffer van bent geworden, meld dit dan onmiddellijk bij de bevoegde autoriteiten (zoals de IC3 van de FBI in de VS) en bij uw financiële instellingen. Door aangifte te doen, helpt u de wetshandhavingsinstanties deze misdrijven op te sporen en mogelijk geld terug te vorderen.

Hoe PowerDMARC helpt bij het voorkomen van domeinspoofing bij BEC-aanvallen

PowerDMARC vermindert het risico op BEC door beveiligingsteams precies te laten zien wie er namens hun domein e-mails verstuurt. Het is niet langer nodig om ruwe XML-gegevens te doorzoeken; via een gecentraliseerd dashboard worden legitieme afzenders, authenticatiefouten en ongeautoriseerde bronnen op één plek weergegeven.

Het platform ondersteunt DMARC, SPF, DKIM, BIMI, MTA-STSen TLS-RPT beheer op één plek. Hierdoor kunnen organisaties veilig de overstap maken naar DMARC-handhaving en SPF-opzoeklimieten te vermijden dankzij geautomatiseerd SPF-beheer, de beveiliging op transportlaag te versterken met gehoste MTA-STS en TLS-RPT, en het vertrouwen in het merk te vergroten met ondersteuning voor BIMI en VMC.

Voor ondernemingen en MSP’s die meerdere domeinen beheren, biedt PowerDMARC bovendien ondersteuning voor het groeperen van domeinen, op rollen gebaseerde toegang, gecentraliseerde monitoring en responsieve wereldwijde ondersteuning, waardoor teams de controle kunnen behouden zonder dat dit extra complexiteit met zich meebrengt.

Start een gratis proefperiode van 15 dagen om authenticatieproblemen op te lossen en domeinspoofing te voorkomen voordat het u geld kost.

Veelgestelde Vragen

Waar staat BEC voor?

BEC staat voor Business Email Compromise, een gerichte e-mailfraudeaanval waarbij criminelen zich voordoen als vertrouwde leidinggevenden, leveranciers of zakenpartners om werknemers ertoe te brengen geld over te maken, inloggegevens te delen of gevoelige gegevens prijs te geven.

Wat is een voorbeeld van een BEC-aanval?

Een veelvoorkomend voorbeeld: een aanvaller doet zich voor als de CEO en stuurt een dringend bericht naar de CFO waarin hij vraagt om een vertrouwelijke overschrijving vóór het einde van de werkdag. Het bericht komt binnen terwijl de echte CEO op reis is, waardoor er tijdsdruk ontstaat en de CFO wordt gevraagd het normale goedkeuringsproces over te slaan. Zonder een aparte verificatiestap kan het gebeuren dat de CFO het geld rechtstreeks naar de aanvaller overmaakt.

Wat is het verschil tussen BEC en phishing?

Bij phishing wordt meestal een breed publiek benaderd met schadelijke links of bijlagen die bedoeld zijn om inloggegevens te stelen of malware te installeren. BEC is gerichter. Deze vorm richt zich op specifieke personen binnen een organisatie, maakt gebruik van social engineering en het zich voordoen als iemand anders in plaats van malware, en heeft tot doel echte zakelijke processen te manipuleren, zoals betalingen, salarisadministratie of verzoeken om gegevens. Aangezien BEC vaak geen schadelijke lading bevat, worden dergelijke aanvallen door traditionele filters vaak over het hoofd gezien.

Waarom zijn BEC-e-mails zo moeilijk te herkennen?

Ze bevatten doorgaans geen malware, geen schadelijke links en geen ongebruikelijke bijlagen. De taal komt overeen met die van normale zakelijke communicatie, er wordt verwezen naar echte personen en projecten, en de berichten zijn vaak afkomstig van domeinen of weergavenamen die sterk lijken op die van legitieme afzenders. Wanneer de aanvaller gebruikmaakt van een daadwerkelijk gehackt account, doorstaat het bericht alle technische authenticatiecontroles.

Kan DMARC alle Business Email Compromise-aanvallen voorkomen?

Nee. DMARC voorkomt directe domeinspoofing, een van de meest voorkomende BEC-aanvalsmethoden, maar bij BEC kan ook sprake zijn van gehackte accounts, lookalike-domeinen en het misbruik van weergavnamen – zaken die DMARC op zichzelf niet kan opsporen. Combineer het met MFA, training van medewerkers, betalingsverificatie en voortdurende monitoring van bedreigingen voor een daadwerkelijke bescherming.

Welk DMARC-beleid biedt de beste bescherming tegen BEC?

Een p=reject-beleid biedt de sterkste bescherming tegen onbevoegde afzenders die uw domein rechtstreeks misbruiken. Organisaties moeten hier geleidelijk naartoe werken: begin met p=none om het verkeer te monitoren, ga vervolgens over naar p=quarantine en daarna naar p=reject, zodra alle legitieme afzenders zijn geïdentificeerd en geauthenticeerd.

Wat moet ik doen als ik een e-mail ontvang die mogelijk een BEC-aanval is?

Reageer er niet op en onderneem geen actie. Controleer het verzoek via een apart, betrouwbaar kanaal, zoals een bekend telefoonnummer. Meld de e-mail onmiddellijk aan uw IT- of beveiligingsteam en bewaar het volledige bericht en de headers als bewijsmateriaal. Als er al een betaling is uitgevoerd, neem dan onmiddellijk contact op met uw bank om te proberen deze terug te roepen.

• Over
• Laatste berichten

Ahona Rudra

Expert op het gebied van domein- en e-mailbeveiliging bij PowerDMARC

Ahona is marketingmanager bij PowerDMARC en heeft meer dan vijf jaar ervaring met het schrijven over cybersecurity, gespecialiseerd in domein- en e-mailbeveiliging. Ahona heeft een masterdiploma in journalistiek en communicatie, en heeft sinds 2019 haar carrière in de beveiligingssector verder uitgebouwd.

Laatste berichten van Ahona Rudra (Bekijk alle berichten)

• Gratis DMARC-tools: controleprogramma’s, generators en monitoring (2026) - 30 juli 2026
• Wat is een e-mailfilterservice? - 29 juli 2026
• E-mail-spoofing: wat het is en hoe je het kunt voorkomen - 29 juli 2026