Iemand verstuurt facturen uit mijn naam: wat je kunt doen

Een klant belt je op en vertelt dat hij een factuur van jou heeft ontvangen, maar met een ander rekeningnummer dan je normaal gebruikt. Je hebt niets verstuurd en schrikt: is er ingebroken in je mail? Vaak is het antwoord gerustellender dan je denkt, want er zijn twee heel verschillende technische oorzaken met hetzelfde uiterlijke resultaat. In dit artikel lees je hoe je het verschil herkent, wat je vandaag concreet doet, en hoe je dit voortaan tegenhoudt zonder dat je daar dure hulp voor nodig hebt.

Twee heel verschillende oorzaken met hetzelfde effect

Als een klant een factuur krijgt die eruitziet alsof die van jou komt, zijn er twee mogelijke verklaringen en die zijn nogal verschillend. De eerste is afzendervervalsing, ook wel spoofing genoemd. Iemand verstuurt een e-mail waarbij het afzenderveld gewoon jouw naam en e-mailadres bevat, zonder dat die persoon ooit toegang heeft gehad tot jouw mailbox. Dat kan, omdat e-mail van oorsprong werkt zoals een papieren envelop: je kunt er zelf een terugadres op schrijven, ongeacht wie de envelop daadwerkelijk verstuurt.

De tweede oorzaak is een echt gehackte mailbox. Dan heeft iemand daadwerkelijk je wachtwoord bemachtigd en is ingelogd op jouw account. Dat is een serieuzere situatie, omdat de aanvaller dan ook je contactenlijst, eerdere gesprekken en soms zelfs oude facturen kan bekijken om een overtuigende valse factuur te maken.

Het goede nieuws is dat spoofing veel vaker voorkomt dan een echte hack. Om een adres te vervalsen heeft iemand alleen je naam en e-mailadres nodig, informatie die meestal gewoon op je website, in je e-mailhandtekening of op eerdere facturen staat.

Hoe je ziet welke van de twee het is

De snelste check is je map met verzonden items. Staat de valse factuur daar niet in, dan is die nooit via jouw eigen account verstuurd en gaat het vrijwel zeker om spoofing. Staat de factuur er wel in, of zie je andere e-mails die je zelf niet hebt verstuurd, dan is er waarschijnlijk daadwerkelijk ingelogd op je account.

Kijk ook naar het overzicht van recente activiteit of inlogpogingen, dat je bij de meeste mailproviders terugvindt onder accountinstellingen of beveiliging. Zie je een inlog vanaf een onbekende locatie of op een tijdstip dat jij niet zelf hebt gewerkt, dan wijst dat op een echte hack. Controleer daarbij ook of er doorstuurregels zijn ingesteld die je zelf niet hebt aangemaakt, want die worden vaak gebruikt om antwoorden van klanten stiekem naar de aanvaller door te sturen.

Vraag je klant tot slot om niet alleen de tekst van de e-mail door te sturen, maar de originele e-mail met alle broninformatie, vaak te vinden via een optie als 'origineel weergeven' of 'header bekijken'. Daarin staat het werkelijke afzenderadres dat de mailserver heeft gebruikt. Bij een matige poging tot spoofing zie je daar een compleet ander domein staan, terwijl een zorgvuldiger vervalsing of een echte hack net zo goed op jouw eigen adres kan uitkomen.

Wat je vandaag doet

Waarschuw eerst je klanten, en doe dat via een kanaal dat niet vervalst kan worden. Bel ze op, of stuur een bericht via een app waarin je al langer contact hebt, zoals WhatsApp. Vermeld duidelijk dat je rekeningnummer niet is gewijzigd en dat ze bij twijfel altijd telefonisch bij jou moeten navragen voordat ze betalen. Kun je niet iedereen snel persoonlijk bereiken, zet dan een duidelijke melding op je website en in je e-mailhandtekening.

Doe aangifte bij de politie via politie.nl. Dat kost weinig tijd en levert je een aangiftenummer op dat je klanten kunnen gebruiken bij hun eigen bank als ze al hebben betaald, en dat nodig kan zijn als er verder onderzoek volgt.

Is een klant al gedupeerd en heeft die geld overgemaakt naar het verkeerde rekeningnummer, dan moet die klant zo snel mogelijk zelf zijn bank bellen. Banken kunnen een overboeking soms nog tegenhouden of terugvragen als dat snel wordt gemeld, al is dat geen garantie. Hoe eerder de melding, hoe groter de kans dat er nog iets te doen is.

Blijkt uit je onderzoek dat je mailbox echt gehackt is, verander dan direct je wachtwoord en zet tweestapsverificatie aan als dat nog niet actief was. Controleer daarna of er doorstuurregels of gemachtigde apparaten zijn toegevoegd die je niet zelf hebt ingesteld, en verwijder die.

Waarom DMARC op p=none je niet beschermt

DMARC is een instelling die je aan je domein kunt toevoegen en die andere mailservers vertelt wat ze moeten doen met e-mail die zich voordoet als afkomstig van jouw domein, maar niet aan bepaalde technische controles voldoet. Die instelling heeft drie standen: none, quarantine en reject. Veel domeinen hebben DMARC wel ingesteld, maar dan op de stand none.

Het probleem is dat de stand none alleen rapporteert en niets blokkeert. Een vervalste e-mail die niet aan de controles voldoet, wordt bij p=none gewoon afgeleverd bij je klant, precies zoals in het voorbeeld waarmee dit artikel begint. Je hebt dan wel DMARC aanstaan, maar zonder enige bescherming.

Om spoofing daadwerkelijk tegen te houden, moet je domein eerst goed werkende SPF en DKIM hebben. Dat zijn twee technische controles die vastleggen welke mailservers namens jouw domein mogen versturen en die e-mails digitaal ondertekenen. Pas als die twee goed staan, kun je DMARC veilig op quarantine of reject zetten, waardoor vervalste mail wordt tegengehouden of in de spammap belandt in plaats van gewoon aan te komen. Dit instellen gebeurt meestal bij je hostingpartij of domeinregistrar, en is met de juiste uitleg vaak in een half uur te regelen.

Wat je aan je klanten kunt vragen om dit voortaan te herkennen

Spreek met je klanten een simpele vaste regel af: een wijziging van je rekeningnummer laat je nooit alleen via e-mail weten, en klanten bellen altijd naar een bekend telefoonnummer om een nieuw rekeningnummer te bevestigen voordat ze betalen. Deze afspraak kun je gewoon één keer per e-mail of op je website delen, zodat iedereen weet waar hij aan toe is.

Vraag klanten ook om te letten op kleine afwijkingen: een ander logo, een net iets ander lettertype, een KVK-nummer dat niet klopt, of een e-mailadres dat er bijna hetzelfde uitziet maar één letter anders is. Dat soort details vallen sneller op als klanten weten dat ze moeten kijken.

Wijs klanten erop dat een gevoel van haast in een e-mail, zoals 'graag vandaag nog betalen' of 'ons oude account is geblokkeerd', vaker een teken van fraude is dan van een normale factuur. Een gewone factuur van jou heeft nooit die druk nodig.

Wanneer schakel je toch hulp in

Bij spoofing zonder dat er is ingebroken, kun je alles in dit artikel zelf afhandelen: klanten waarschuwen, aangifte doen, en eventueel de bank van de gedupeerde inschakelen. Er is dan niets stuk in jouw systemen, dus er is ook niets te repareren.

Blijkt uit de logs dat je mailbox echt gehackt is en vind je zelf de doorstuurregels of ongewone inlogsessies niet terug, dan kan het helpen om iemand te laten meekijken die dagelijks met dit soort onderzoek bezig is. Datzelfde geldt voor het correct instellen van SPF, DKIM en DMARC op reject, want een fout in die instelling kan er ook voor zorgen dat je eigen normale e-mail niet meer aankomt. In die gevallen is betaalde hulp een keuze om tijd te besparen, niet een noodzaak om het probleem op te lossen.

Blijft het goed staan?

Als je dit hebt opgelost is het goed, maar het blijft niet vanzelf goed. Dit soort instellingen verschuift bij een providerwissel, een nieuwe tool of een verhuizing van je website, en omdat er geen foutmelding komt merk je het pas als iemand erover begint. Daarvoor is Wachter gemaakt: die kijkt elke dag of er iets verandert en stuurt een seintje.

Meer lezen: mail komt niet aan bij klanten en kan iemand mailen uit naam van je bedrijf.

Veelgestelde vragen