Nieuw rekeningnummer op een factuur: zo controleert u het

Een factuur van uw vaste bunkerstation komt binnen. Alles klopt, alleen het rekeningnummer is anders. Dat is een bekende vorm van oplichting: de oplichter past alleen het rekeningnummer aan. Wie de factuur betaalt, maakt het geld over aan de oplichter en niet aan de leverancier. Dit artikel laat zien hoe u dat op kantoor voorkomt, ook als de planner of de boekhouder het druk heeft.

Hoe het in de praktijk gaat

Oplichters hebben meerdere manieren om een rekeningnummer te veranderen. Volgens de Fraudehelpdesk gebruiken ze correctievloeistof, een sticker, een stempel of een begeleidende brief waarin staat dat het rekeningnummer is gewijzigd. Ze kunnen een factuur ook digitaal onderscheppen en met speciale programma's aanpassen. Soms zit er schadelijke software op de computer van het bedrijf, waarmee de oplichter e-mails namens dat bedrijf verstuurt.

Voor een rederij betekent dat bijvoorbeeld:

• een factuur van een bunkerstation of smeerolieleverancier die per e-mail binnenkomt;
• een rekening van een werf of reparatiebedrijf na een stilligperiode;
• een bericht van een bevrachter of havenbedrijf dat de betaalgegevens zijn veranderd.

De NCSC noemt dit factuurfraude, een vorm van BEC-fraude (oplichting via zakelijke e-mail). Daarbij doen criminelen zich voor als leverancier, met een aangepast rekeningnummer op de factuur. Ook CEO-fraude hoort daarbij: een bericht dat lijkt te komen van een directeur of manager, met de druk om snel geld over te maken. Zulke berichten zijn persoonlijk geschreven. Daardoor worden ze vaak niet door een spamfilter tegengehouden.

Waar u op let

De KvK en de NCSC noemen dezelfde signalen. Zet ze op een kaartje bij de administratie:

• Haast of dreiging. Oplichters gebruiken tijdsdruk om u snel te laten betalen. Een bericht dat zegt dat vandaag nog betaald moet worden, is reden om extra te controleren.
• Een afwijkende werkwijze. Een verzoek dat niet past bij hoe u normaal zaken doet, bijvoorbeeld een betaalverzoek per e-mail of een nieuw rekeningnummer zonder aanleiding.
• Een factuur die niet bij een opdracht hoort. Controleer of het product of de dienst echt besteld is en of het ordernummer in uw eigen administratie voorkomt.
• Een ander rekeningnummer dan voorheen. Leg het nummer naast wat u eerder hebt betaald.
• Een lager bedrag voor iets dat u niet kent. De KvK waarschuwt ook voor nepfacturen voor zaken die nooit zijn besteld. Die gebruiken bekende bedrijfsnamen en lage bedragen om geloofwaardig te lijken.

Wat u doet bij een gewijzigd rekeningnummer

De regel is eenvoudig: vraag het na bij de leverancier, op een manier die de oplichter niet kan beïnvloeden.

1. Bel de leverancier op het telefoonnummer uit uw eigen administratie of van zijn eigen website. Gebruik niet het nummer op de factuur of in de e-mail. Ook dat kan vervalst zijn.
2. Vraag of het rekeningnummer echt is gewijzigd.
3. Beantwoord de verdachte e-mail niet. Zoek het e-mailadres van het bedrijf zelf op.
4. Pas het rekeningnummer in uw boekhouding pas aan nadat het is bevestigd, en leg vast wie het heeft bevestigd.

Het kost een paar minuten per keer. Voor een rederij met een handvol vaste leveranciers is dat goed te doen.

Maak er een vaste afspraak van

De NCSC adviseert ook om te zorgen dat medewerkers een verdacht bericht gemakkelijk kunnen melden. Spreek daarom af dat een nieuw rekeningnummer nooit door één persoon wordt gewijzigd. Laat een tweede collega meekijken. Zeg er ook bij dat navragen geen wantrouwen is, maar het werk. Zo durft een collega die een verzoek van de directeur vreemd vindt ook te bellen.

De schipper hoeft hierin geen rol te spelen. Maar als een schipper een nota van een bunkerstation of havenmeester doorstuurt, geldt dezelfde controle bij binnenkomst op kantoor.

Zorg dat uw eigen mail niet wordt misbruikt

Bij BEC-fraude kan ook úw mailbox het begin zijn. De NCSC noemt als technische maatregelen:

• sterke, unieke wachtwoorden;
• inloggen met een tweede stap, zodat een gestolen wachtwoord alleen niet genoeg is;
• e-mailstandaarden die voorkomen dat iemand zich voordoet als uw domein.

Over het inrichten daarvan in Microsoft 365 leest u meer op de pagina Microsoft 365 en beveiliging op kantoor.

Als u toch hebt betaald

De KvK noemt drie stappen:

1. Doe aangifte bij de politie. Fraude is strafbaar en aangifte maakt onderzoek mogelijk.
2. Neem direct contact op met uw bank en probeer de betaling terug te halen. Ging het geld naar een Nederlandse rekening, vraag dan om de naam en adresgegevens van de rekeninghouder. Daarmee kunt u het geld via de rechter proberen terug te krijgen.
3. Meld het bij de Fraudehelpdesk. Zij kunnen u doorverwijzen naar hulporganisaties en adviseren over mogelijke vergoeding.

Bel de bank zo snel mogelijk, liefst dezelfde dag. Meld het daarna ook bij de echte leverancier, want zijn mail of systeem kan ook zijn misbruikt.

Wat kunt u deze week doen

• Spreek af dat een gewijzigd rekeningnummer altijd telefonisch wordt nagevraagd, op een nummer uit uw eigen administratie.
• Stel vast wie dat doet en wie als tweede meekijkt.
• Controleer of iedereen met toegang tot de mail van de rederij inlogt met een tweede stap.
• Bespreek met de planners en de boekhouding één voorbeeld uit de praktijk, bijvoorbeeld een bunkerfactuur met een nieuw rekeningnummer.