# AI-phishing en CEO-fraude: nepmails en nepstemmen herkennen in je bedrijf

> AI-phishing en CEO-fraude: hoe nepmails, nepstemmen en nepvideo's werken, wat de AP meldt en welke afspraken je bedrijf er veilig tegen maken.

Bron: https://geo-kennisbank.nl/kennisbank/ai-phishing-en-ceo-fraude/  
Uitgever: GEO-Kennisbank (geo-kennisbank.nl), een label van Harundo  
Bijgewerkt: 2026-11-10

Een mail van je directeur, in jouw taal, zonder één foutje. Of een belletje met een stem die klinkt als je baas, met een dringend verzoek om te betalen. Met AI-phishing maken oplichters zulke berichten in seconden. De Autoriteit Persoonsgegevens (AP) schrijft in haar datalekkenrapport over 2025 dat AI de risico's rond phishing en datalekken vergroot. Hier lees je hoe AI-phishing en CEO-fraude werken, waaraan je ze herkent en welke afspraken ook werken als de nep perfect lijkt.

Kort antwoord

AI phishing gebruikt taalmodellen en nagemaakte stemmen om overtuigende nepmails, nepbellers en nepvideogesprekken te maken. Bij CEO-fraude doen oplichters zich voor als je directeur. Taalfouten verraden ze niet meer. Wat wel helpt, zijn vaste afspraken, zoals terugbellen op een bekend nummer, vier ogen bij betalingen, een codewoord voor dringende verzoeken en tweestapsverificatie.

## AI-phishing en CEO-fraude: wat is het?

Bij phishing probeert iemand je via een nepbericht te laten klikken, inloggen of betalen. Bij CEO-fraude, ook directiefraude genoemd, doet de oplichter zich voor als je directeur of een andere leidinggevende, meestal om een snelle betaling of gevoelige informatie los te krijgen.

AI maakt die oude truc overtuigender. Een taalmodel schrijft foutloze mails in goed Nederlands, in de toon van het bedrijf, en personaliseert ze met informatie van je website of van LinkedIn. Stemkloon-software bootst een stem na op basis van een korte opname. Beeldsoftware maakt nepvideo's, ook wel deepfakes. Meer daarover lees je in [deepfakes herkennen](https://geo-kennisbank.nl/kennisbank/deepfakes-herkennen/).

De werkwijze blijft gelijk: druk, tijdsnood en geheimhouding. Alleen de verpakking is beter.

Oplichters kiezen op kans, dus ook kleine bedrijven zijn doelwit. Een zzp'er die zelf betalingen doet, of een mkb-bedrijf met één persoon op de administratie, heeft vaak geen tweede paar ogen. Juist daar is een overtuigend nepbericht gevaarlijk. De Fraudehelpdesk waarschuwt ondernemers trouwens ook voor andere vormen, zoals nepbureaus die onder druk dure merkregistraties of domeinnamen aanbieden.

## Waarom AI-phishing nu een zakelijk risico is

In juli 2026 publiceerde de AP het Datalekkenrapport over 2025: 39.407 gemelde datalekken, tegen 37.839 in 2024. Het aantal cybergerelateerde datalekken steeg van 1.537 naar 2.428. Vooral gelukte accountovernames namen sterk toe, van 607 naar 1.742, en die koppelt de AP voor een groot deel aan phishing.

Volgens de AP helpt AI aanvallers om doelwitten te onderzoeken, persoonlijke berichten te schrijven, vertrouwde merken na te maken, in meerdere talen te werken en campagnes bij te sturen op wat werkt. Kant-en-klare phishingpakketten worden er makkelijker door, zodat minder vakkennis nodig is. Digitale veiligheid is volgens de AP een zaak voor het management.

Hoe ver een nepvideogesprek kan gaan, liet het ingenieursbureau Arup zien. Een medewerker in Hongkong sprak in 2024 in een videogesprek met wat hij hield voor zijn financieel directeur en collega's. Het waren allemaal nagemaakte beelden. In 15 transacties boekte hij 200 miljoen Hongkongse dollar over, ongeveer 25,6 miljoen Amerikaanse dollar.

## Zo herken je AI-phishing en nepstemmen

De vorm is tegenwoordig vaak foutloos, dus kijk naar de situatie. Per kanaal zijn dit de signalen:

|Kanaal |Signalen |Controle |

|E-mail |Dringend verzoek, geheimhouding, nieuw rekeningnummer, afwijkend afzenderadres |Bekijk het echte adres en bel de afzender |

|Telefoon |Bekende stem, maar met tijdsdruk en een ongebruikelijke vraag |Hang op en bel terug op het bekende nummer |

|Videogesprek |Onverwachte uitnodiging, korte of vage antwoorden, verzoek om snel te betalen |Stel een vraag die alleen echte collega's kunnen beantwoorden |

|Berichtenapp |Onbekend nummer dat zegt de directeur te zijn |Bel de directeur op het nummer dat je kent |

|Link of bijlage |Verzoek om in te loggen of een bestand te openen |Typ het webadres zelf in |

Foto's, video en stemmen zijn steeds lastiger van echt te onderscheiden, dus vertrouw op afspraken in plaats van op je gevoel. Vraag jezelf bij elk verzoek af: zou deze persoon dit normaal zo vragen, via dit kanaal, op dit moment? Is het antwoord nee, stop dan en controleer.

**Hoe ziet AI jouw website?** Doe de gratis GEO-scan: 40 controles en een cijfer van 0 tot 100.

[Start de GEO-scan](https://geo-kennisbank.nl/ai-scan/)

## Zes afspraken die AI-phishing weinig kans geven

- **Altijd terugbellen.** Bij een betaling of wijziging van een rekeningnummer bel je terug op een nummer dat je al had.

- **Vier ogen.** Laat boven een vast bedrag altijd een tweede persoon meekijken.

- **Een codewoord.** Spreek een woord of vraag af die alleen bekend is bij het team, voor dringende verzoeken per telefoon of video.

- **Tweestapsverificatie.** Zet die aan op mail, boekhouding en bank, bij voorkeur met een app of beveiligingssleutel.

- **Beperk openbare informatie.** Zet niet iedereen met naam, rol en telefoonnummer op je site of LinkedIn; aanvallers kiezen daar hun doelwitten mee.

- **Zorg voor een meldkanaal.** Maak het eenvoudig om iets verdachts te melden, zonder verwijt, en beloon het.

Oefen dit. Een korte simulatie, bijvoorbeeld een nepverzoek dat je zelf verstuurt, laat zien waar de afspraken wringen. Meer over nieuwe dreigingen en hulpmiddelen staat in [AI en cybersecurity](https://geo-kennisbank.nl/kennisbank/ai-en-cybersecurity/).

## Wat doe je bij een vermoeden of incident?

Handel snel en volgens vaste stappen.

- **Stop de betaling.** Bel direct je bank. Hoe eerder, hoe groter de kans op terughalen.

- **Bewaar bewijs.** Bewaar mails, nummers en schermafbeeldingen. Verwijder niets.

- **Doe aangifte** bij de politie en meld het bij de Fraudehelpdesk, via de website of op 088 7867372.

- **Beoordeel of het een datalek is.** Zijn er persoonsgegevens in verkeerde handen gekomen, dan moet je dat in veel gevallen binnen 72 uur melden bij de AP.

- **Wijzig wachtwoorden** en controleer of er mailregels zijn ingesteld die berichten doorsturen.

Schaamte is een veelgemaakte fout, want wie zich schaamt, meldt te laat. Maak duidelijk dat het bedrijf liever een valse melding krijgt dan een gemiste.

## Wat dit betekent voor jou

Oplichters gebruiken openbare informatie over je bedrijf. Je contactgegevens moeten dus kloppen: op je site, in je Google Bedrijfsprofiel en in AI-antwoorden. Daar duiken zelfs nepnummers in op, zie [nepnummers in AI-antwoorden](https://geo-kennisbank.nl/kennisbank/nepnummers-in-ai-antwoorden/). Hoe AI jouw bedrijf noemt, controleer je met de [vermeldingscheck](https://geo-kennisbank.nl/vermeldingscheck/). Klanten en AI-assistenten moeten weten wat je echte kanalen zijn, dus zet je officiële telefoonnummer, adres en betaalgegevens op een vaste plek op je site, zodat iedereen een nepbericht daartegen kan toetsen.

## Conclusie

AI-phishing maakt nepberichten beter, terwijl de truc hetzelfde blijft: druk, geheimhouding en een verzoek om geld of gegevens. Je verdedigt je met afspraken die niet van je gevoel afhangen, zoals terugbellen, vier ogen, een codewoord en tweestapsverificatie. Maak melden makkelijk. En oefen. Wil je zien hoe je bedrijf online en in AI-antwoorden overkomt? Start dan de [GEO-scan](https://geo-kennisbank.nl/ai-scan/).

## Veelgestelde vragen

### Wat is CEO-fraude?
Bij CEO-fraude doen oplichters zich voor als een directeur of manager en vragen een medewerker om snel een betaling te doen of gegevens te sturen. Dat gebeurt per mail, telefoon of berichtenapp. AI maakt zulke berichten overtuigender, bijvoorbeeld met een nagemaakte stem of een geloofwaardig geschreven mail.

### Kunnen oplichters echt een stem nabootsen?
Ja. Het kan met korte opnamen van iemands stem, bijvoorbeeld uit een video of voicemail. Ook video is nagemaakt: bij het ingenieursbureau Arup werd een medewerker in Hongkong met een nepvideogesprek, waarin collega's werden nagebootst, tot 15 overboekingen van samen circa 25 miljoen dollar verleid.

### Hoe herken ik een AI-phishingmail?
Op taal en spelfouten kun je niet meer vertrouwen. Let op de context: een verzoek dat dringend is, geheim moet blijven, afwijkt van de gewone werkwijze of om betaling of inloggegevens vraagt. Controleer afzender en link. Bij twijfel neem je contact op via een kanaal dat je zelf kent.

### Wat doe ik als ik per ongeluk geld heb overgemaakt?
Bel direct je bank en vraag om het bedrag terug te halen. Doe aangifte bij de politie en meld het bij de Fraudehelpdesk. Zijn er ook persoonsgegevens gelekt, dan moet je dat binnen 72 uur melden bij de AP. Hoe sneller je handelt, hoe groter de kans dat de bank iets kan terughalen.

### Helpt tweestapsverificatie tegen phishing?
Ja, het is een van de maatregelen die de AP noemt, naast het filteren van mail en netwerkverkeer, het scheiden van netwerken en een duidelijk meldkanaal voor verdachte berichten. Het is geen garantie: oplichters proberen ook de verificatiecode te onderscheppen. Gebruik waar mogelijk sterkere methoden, zoals een beveiligingssleutel.

## Bronnen

- Autoriteit Persoonsgegevens, Datalekkenrapportage 2025 (juli 2026)
- Clyde & Co, The impact of AI on the risks of cyberattacks: key takeaways from the AP's report (juli 2026)
- Fraudehelpdesk, informatie voor ondernemers over fraude en phishing
- CNN, British engineering giant Arup revealed as 25 million dollar deepfake scam victim (16 mei 2024)
- Nationaal Cyber Security Centrum (NCSC), Beginnen met cybersecurity
- Autoriteit Persoonsgegevens, Caution: use of AI chatbot may lead to data breaches