De directeur van een klein industrieel bedrijf uit het Brabantse Mierlo maakte onbedoeld € 160.000 over naar internetcriminelen. Een IT-specialist claimt dat de fraudeurs een ingenieuze val hebben opgezet, maar het Italiaanse moederbedrijf van de firma toont zich minder coulant en wil dat het geld koste wat kost terugkomt: 'Het gaat waarschijnlijk de komende jaren van onze winst af. En misschien word ik wel ontslagen', zegt de directeur van het bedrijf.

Zoals wel vaker het geval is wanneer we spreken van CEO-fraude, begon ook deze truc met een mailtje dat zogenaamd namens het moederbedrijf was verstuurd. Het Eindhovens Dagblad tekent op dat de betalingen volgens de criminelen voortaan naar een andere rekening moesten. Enige tijd later volgde nog een mail met een lijstje achterstallige betalingen, iets dat evenmin reden was tot scepsis omdat dit in lijn was met de gebruikelijke gang van zaken. Het mailadres waar deze mails vandaan kwamen, bleek echter vervalst: de letter 'i' was veranderd in een 'l', waar je natuurlijk zo overheen leest. Deze slinkse handelswijze staat bekend als typosquatting.

Het bedrijf uit Mierlo maakte gedurende een maand lang meerdere betalingen over naar het nieuwe rekeningnummer, dat in werkelijkheid van de fraudeurs was. Pas toen ontdekte de directeur dat het foute boel was: 'Ik had moeten bellen om te controleren of het rekeningnummer inderdaad was aangepast. In ons geval was er niks verdachts. De valse e-mails kwamen helemaal overeen met eerdere echte mails vanuit ons moederbedrijf, inclusief namen, bedrijfslogo en productgegevens die alleen bij ons bekend zijn.'

Directeur vermoedt dat hackers de bedrijfsmail hebben gekraakt

'Ik denk dat de hackers al een flinke tijd hebben meegekeken', zegt de directeur. Hij vermoedt dat de fraudeurs op de een of andere manier wachtwoorden in handen hebben gekregen waarmee ze toegang kregen tot gevoelige informatie: 'Originele mails van het moederbedrijf met facturen verdwenen rechtstreeks naar de elektronische prullenbak'. Mede om deze reden had wekenlang niemand enig vermoeden van de hack.

Hoewel de directeur aangifte heeft gedaan, kan de politie weinig voor het bedrijf betekenen. Ook van de verzekering, Microsoft en de bank kreeg hij in beginsel nul op het rekest. Volgens de directeur had laatstgenoemde na zijn alarm betalingen ter hoogte van 50.000 euro nog kunnen tegenhouden. Complicerende factor is dat de man feitelijk in loondienst is bij het Italiaanse moederbedrijf en zelf dus niet juridisch aansprakelijk gesteld kan worden.

Bron: Eindhovens Dagblad / Security.nl