Kort antwoord: met enkele seconden geluid uit een interview, webinar of voicemail is een overtuigende stemkloon te maken. Fraudeurs bellen daarmee een medewerker van finance, verwijzen naar een lopend traject en vragen om een spoedbetaling. Techniek herkent dit slecht, procedures wel: een terugbelverplichting via een bekend nummer stopt vrijwel elke variant van deze aanval.
Hoe verloopt zo’n aanval stap voor stap?
Het begint met onderzoek. De aanvaller zoekt uit wie er in uw organisatie betalingen mag doen, wie diens leidinggevende is, en of er iets loopt waar haast bij zit: een overname, een aanbesteding, een buitenlandse leverancier. Die informatie staat vaker openbaar dan organisaties denken, verspreid over LinkedIn, persberichten en vacatureteksten.
Daarna volgt het geluid. Een fragment uit een podcast, een congresopname of een bedrijfsvideo is genoeg. De aanvaller belt vervolgens op een moment dat de echte bestuurder aantoonbaar niet bereikbaar is, bijvoorbeeld tijdens een reis die op sociale media is aangekondigd.
Het gesprek zelf is kort en creëert twee dingen: urgentie en geheimhouding. Er moet vandaag betaald worden en er mag nog niet met anderen over gesproken worden vanwege de vertrouwelijkheid van het traject. Precies die combinatie is het herkenningsteken.
Hoeveel materiaal heeft een fraudeur nodig?
Weinig. De huidige generatie stemkloontechnologie werkt met korte fragmenten, en de kwaliteit is over een telefoonverbinding ruim voldoende omdat een telefoonlijn toch al vervormt. Juist die vervorming werkt in het voordeel van de aanvaller: kleine onvolkomenheden vallen weg in de ruis.
Dat betekent dat iedereen die weleens publiek spreekt, materiaal heeft rondslingeren. Voor bestuurders die keynotes geven of in de media verschijnen, is dat een gegeven en geen op te lossen kwetsbaarheid.
Waarom werkt technische detectie zo slecht?
Omdat detectie achterloopt op generatie. Een detectiemodel wordt getraind op bekende vervalsingen, terwijl de generatiemodellen elke paar maanden verbeteren. Daar komt bij dat u de detectie op het juiste moment moet inzetten, en dat moment is een telefoongesprek dat niemand opneemt.
Vertrouw dus niet op software die belooft vervalsingen te herkennen. De verdediging die wel werkt zit in het proces eromheen.
Welke procedurele maatregelen werken wel?
De belangrijkste is een terugbelverplichting. Elk verzoek tot betaling dat telefonisch of per mail binnenkomt, wordt geverifieerd door zelf terug te bellen naar een nummer uit uw eigen systeem, nooit naar een nummer dat in het verzoek werd genoemd. Dat ene voorschrift breekt de aanval, omdat de fraudeur geen controle heeft over uw telefoonlijst.
Daarnaast: vier ogen bij betalingen boven een drempelbedrag, een vast maximum voor spoedbetalingen, en de expliciete afspraak dat geheimhouding nooit een reden is om een procedure over te slaan. Die laatste zin hoort in uw beleid te staan en hoort door de directie te zijn uitgesproken, want een medewerker die zijn CEO tegenspreekt moet weten dat hij daarin gesteund wordt.
Wat doet u als het al gebeurd is?
Direct de bank bellen, want bij een betaling die nog niet is bijgeschreven bestaat er soms nog een terugroepmogelijkheid. Daarna aangifte doen, en intern vaststellen welke gegevens er verder zijn gedeeld tijdens het contact, omdat een geslaagde poging vrijwel altijd wordt gevolgd door een tweede.
Belangrijk is hoe u met de medewerker omgaat. Wie hierin wordt afgerekend, zorgt ervoor dat de volgende poging niet gemeld wordt. Behandel het als een procesfout en niet als een persoonlijke fout, want dat is het in vrijwel alle gevallen ook.
Hoe traint u medewerkers hierop zonder angst te zaaien?
Door het concreet te maken en te oefenen. Laat horen hoe een stemkloon klinkt, want dat maakt meer indruk dan elke waarschuwing en het neemt tegelijk de mystiek weg. Oefen daarna het terugbellen, zodat de handeling routine wordt in plaats van een confrontatie.
Vermijd de toon waarin elke technologie een bedreiging is. De boodschap is niet dat de wereld gevaarlijker is geworden, maar dat één specifieke verificatiestap nu belangrijker is dan vroeger. Dat is een hanteerbaar verhaal, en hanteerbare verhalen worden opgevolgd.
Wilt u dit onderwerp behandelen voor uw directie of finance-team? Dat kan als keynote of besloten sessie. Zie ook: AI-beleid opstellen.