--- id: CP-017 slug: compromittering-zakelijke-e-mail-bec lang: nl title: Compromittering van zakelijke e-mail (BEC) description: Hoe een aanvaller een zakelijke mailbox overneemt of een bekende afzender nabootst, en hoe u een betaalverzoek controleert. canonical_url: https://startbrain.io/cyberpedia/nl/articles/compromittering-zakelijke-e-mail-bec/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/compromittering-zakelijke-e-mail-bec.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Compromittering van zakelijke e-mail (BEC)”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/compromittering-zakelijke-e-mail-bec/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-007 schema: G1 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/compromittering-zakelijke-e-mail-bec/ fr: https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec/ en: https://startbrain.io/cyberpedia/en/articles/business-email-compromise-bec/ de: https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec/ es: https://startbrain.io/cyberpedia/es/articles/compromiso-correo-empresarial-bec/ it: https://startbrain.io/cyberpedia/it/articles/compromissione-posta-aziendale-bec/ sources: - "n": 1 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 2 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 3 title: Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1534/ accessed: "2026-11-03" - "n": 4 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 5 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ published: "2021-05-27" accessed: "2026-11-03" --- # Compromittering van zakelijke e-mail (BEC) Bij compromittering van zakelijke e-mail gebruikt een aanvaller een vertrouwd adres om een collega, klant of leverancier te misleiden. Hij heeft de controle over een echte mailbox overgenomen, of hij maakt een bericht dat de afzender nabootst. De medewerker krijgt een verzoek dat gewoon lijkt, bijvoorbeeld een betaling die moet worden uitgevoerd. Aanvallers maken misbruik van de werkgewoonten van een organisatie om ongeautoriseerde betalingen los te krijgen [1]. De bronnen die hier worden aangehaald behandelen deze fraude niet allemaal onder die naam. Ze beschrijven de technieken die haar mogelijk maken: vervalsing van de afzender, gecompromitteerde accounts, verborgen doorstuurregels en slecht beveiligde domeinen. Dit artikel houdt zich aan wat ze zeggen. ## In 30 seconden - Waar het gebeurt: in de e-mail, met een bericht dat lijkt te komen van een bekende contactpersoon, soms vanaf het echte account van een gehackte collega [2][3]. - Wat de aanvaller wil: een ongeautoriseerde betaling of wachtwoorden [1]. - De reflex: bevestig elk betalings- of wijzigingsverzoek via een tweede communicatiemiddel, met contactgegevens die u al kent en niet met die uit het bericht [1][4]. - Als het al gebeurd is: meld het meteen, ook als u al hebt geklikt. Een snelle melding beperkt de schade [1]. ## Directe vragen ### Wat is compromittering van zakelijke e-mail? Het is e-mailfraude waarbij de aanvaller de rol van een vertrouwd persoon speelt. De bronnen noemen twee wegen. Ofwel vervalst hij de identiteit van de afzender, wat MITRE "Email Spoofing" noemt [2]. Ofwel compromitteert hij een legitiem account en gebruikt hij dat om de collega's van het slachtoffer te schrijven [3]. ### Hoe herkent u het bericht? CISA noemt veelvoorkomende signalen: dringende of emotionele taal, een verzoek om persoonlijke of financiële gegevens, onjuiste adressen of links, zoals amazan.com [4]. Dezelfde tekst stelt dat slechte spelling geen betrouwbaar signaal meer is, omdat sommige e-mails inmiddels perfecte grammatica hebben [4]. ### Bewijst een bekend adres wie de afzender is? Nee. Het vervalsen van de afzender kan zowel de menselijke ontvanger als geautomatiseerde beveiligingstools misleiden [2]. Een aanvaller kan ook aanhaken bij een bestaande gespreksdraad, wat MITRE "thread hijacking" noemt [2]. En als een intern account echt is gecompromitteerd, benut de aanvaller het vertrouwen in dat account om meer mensen te misleiden [3]. ### Wat doet u als het verzoek echt lijkt? Klik op geen enkele link en bel geen nummer uit het bericht. CISA raadt aan een andere manier te zoeken om het bedrijf of de persoon te bereiken, bijvoorbeeld via een nummer van een geverifieerde website, of een contactpersoon te bellen van wie u het nummer al hebt [4]. De Britse NCSC voegt toe dat belangrijke verzoeken per e-mail via een tweede soort communicatie moeten worden gecontroleerd: sms, telefoongesprek, inloggen op een account, bevestiging per post of persoonlijk [1]. ### Moet u een verkeerde klik melden? Ja. De NCSC vraagt om mensen die erin trappen niet de les te lezen, want wie straf vreest, meldt zijn fouten niet op tijd of helemaal niet [1]. De NCSC vraagt organisaties ook ervoor te zorgen dat gebruikers een e-mail kunnen melden, ook nadat ze hebben geklikt [1]. ## In de huid van de aanvaller De aanvaller heeft twee beginpunten. Het eerste is een gestolen account. Volgens MITRE kan een legitiem account worden gecompromitteerd door het apparaat van de gebruiker te beheersen of door de inloggegevens te bemachtigen, waarna de aanvaller het gebruikt om andere mensen in dezelfde organisatie erin te laten lopen [3]. Om de inloggegevens te stelen kan hij een link sturen naar een site die een inlogpagina nabootst [3]. Eenmaal in de mailbox kan hij daar een doorstuurregel aanmaken. Daarmee kan hij de activiteiten van het slachtoffer volgen, informatie stelen en de organisatie beter leren kennen [5]. De regel kan hem ook toegang tot de e-mails van het slachtoffer houden nadat beheerders het wachtwoord hebben gereset [5]. Het tweede beginpunt is vervalsing, waarvoor geen toegang nodig is. De aanvaller zoekt dan informatie op die openbaar is. Volgens de NCSC dient de informatie op uw website en sociale netwerken om gerichte berichten overtuigender te maken, onder meer om een bestuurder te treffen in een zogeheten "whaling"-aanval [1]. Mensen die over geld beschikken of de IT beheren zijn voor hem interessanter [1]. ## Wat u op het scherm ziet Het bericht komt van een bekende naam en vraagt om snel handelen. De signalen die CISA beschrijft zijn tijdsdruk, een verzoek om financiële gegevens en een adres dat net iets afwijkt [4]. Een naastliggend domein kan volstaan: MITRE merkt op dat de groep Leviathan e-mails met een link verstuurde, vaak met een frauduleus "lookalike"-domein en gestolen huisstijl [6]. De tekst is soms onberispelijk. De NCSC noemt een geval waarin een valse factuurmail die "needed urgent attention" goed geschreven was, zonder spel- of grammaticafouten [1]. De weergegeven naam vertelt niet alles. In de campagne die hieronder wordt beschreven leek de e-mail afkomstig van een adres op usaid.gov, terwijl het echte verzendadres toebehoorde aan de gebruikte dienst voor massamailing, met een antwoordadres (Reply-To) dat eveneens op usaid.gov eindigde [7]. De volgende illustratie is verzonnen en geneutraliseerd. Ze toont de typische vorm van een verdacht verzoek. ```text Illustration inventée, sans valeur réelle De : [nom d'un dirigeant] Objet : [paiement urgent] Corps : [demande de régler tout de suite une facture, de garder l'affaire confidentielle et de ne parler à personne] ``` ## Onder de motorkap In de bronnen komen drie mechanismen terug. Het eerste is diefstal van inloggegevens via phishing, zoals hierboven beschreven. Daartegen raadt de NCSC multifactorauthenticatie aan: met een tweede factor kan een aanvaller een account niet openen met alleen het gestolen wachtwoord [1]. CISA geeft particulieren hetzelfde advies [4]. Het tweede is de doorstuurregel. Regels kunnen worden aangemaakt vanuit een lokale toepassing, een webinterface of een opdrachtregel, en berichten onbeperkt doorsturen naar interne of externe ontvangers [5]. De aanvaller kan de regel ook verbergen door de eigenschappen ervan te wijzigen via de MAPI-API van Microsoft, waardoor ze onzichtbaar wordt in Outlook, OWA en de meeste beheertools van Exchange [5]. In Exchange kunnen transportregels zelfs gelden voor alle e-mail van een organisatie [5]. MITRE adviseert extern doorsturen uit te schakelen, de regels regelmatig te auditen en out-of-band-waarschuwingen in te stellen voor ongebruikelijk verzendgedrag, zoals massaal doorsturen [5]. Het derde is de controle over het verzenddomein. MITRE beveelt SPF aan om het domein van de afzender te verifiëren en DKIM voor de integriteit van berichten, en merkt op dat een beleid als DMARC ontvangers helpt op dezelfde manier te filteren [2]. De NCSC stelt dat DMARC voorkomt dat fraudeurs uw domein vervalsen, en dat de ontvanger, als de afzender een DMARC-beleid van quarantaine of weigering heeft, dat beleid moet toepassen wanneer de validatie mislukt [1]. MITRE erkent bovendien dat interne e-mail met een val moeilijk met preventieve maatregelen te blokkeren is, omdat ze berust op misbruik van normale functies [3]. ## Incidentanalyses ### 28 januari 2021: de NOBELIUM-campagne, eerste golven Microsoft volgt sinds januari 2021 een campagne met kwaadaardige e-mails van NOBELIUM, de actor achter de aanvallen op SolarWinds [7]. Ze begint op 28 januari 2021: de actor stuurt eerst alleen het vervolgdeel van het bericht, om de doelwitten te vinden die klikken, zonder kwaadaardige lading mee te sturen [7]. Dit geval richt zich op het installeren van malware en niet op een betaling. Het laat toch de methode zien: testen, nagaan wie reageert, bijsturen [7]. ### 25 mei 2021: een vertrouwde afzender op grote schaal nagebootst Op 25 mei 2021 gebruikt NOBELIUM de legitieme dienst voor massamailing Constant Contact om zich voor te doen als een Amerikaanse ontwikkelingsorganisatie [7]. Het richt zich op ongeveer 3.000 accounts bij meer dan 150 organisaties [7]. In één voorbeeld lijkt de e-mail van USAID te komen, met een authentiek verzendadres dat eindigt op @in.constantcontact.com en een antwoordadres op usaid.gov [7]. De link leidt eerst naar de legitieme dienst en daarna naar de infrastructuur van de aanvaller, die een kwaadaardig ISO-bestand aflevert [7]. De geautomatiseerde systemen blokkeerden de meeste e-mails en classificeerden ze als spam, maar enkele van de eerste berichten kunnen zijn afgeleverd [7]. Microsoft raadt multifactorauthenticatie aan om het effect van gecompromitteerde inloggegevens te beperken [7]. ## Bronnen 1. NCSC (Royaume-Uni), “Phishing attacks: defending your organisation”, 5 februari 2018. https://www.ncsc.gov.uk/guidance/phishing (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1534/ (geraadpleegd op 3 november 2026) 4. CISA, “Recognize and Report Phishing | CISA”. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (geraadpleegd op 3 november 2026) 5. MITRE ATT&CK, “Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1114/003/ (geraadpleegd op 3 november 2026) 6. MITRE ATT&CK, “Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/002/ (geraadpleegd op 3 november 2026) 7. Microsoft, “New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog”, 27 mei 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/compromittering-zakelijke-e-mail-bec/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.