Cyberpediadoor Brain
NLDEENESFRIT

Terugbellen vóór een wijziging van rekeningnummer

Een leverancier of directielid vraagt om een nieuw rekeningnummer of een spoedbetaling: bel terug op een nummer dat u al kent en laat de vraag goedkeuren.

In 30 seconden

Waar het gebeurt
Via een nepbericht, sms of telefoontje dat een vertrouwde derde nabootst1.
Wat de aanvaller wil
Bank- of persoonsgegevens bemachtigen door zich voor te doen als een vertrouwde derde1.
De reflex
Klik nergens op en bel geen enkel nummer uit het bericht, zoek een andere manier om de persoon te bereiken2.
Als het al gebeurd is
Waarschuw meteen de betrokken personen in de organisatie en de financiële instelling3.

Waar gaat het over

Een bericht vraagt om het rekeningnummer (RIB) van een leverancier te wijzigen, of om meteen een betaling te doen voor een directielid. Als de afzender een oplichter is, betaalt de medewerker die het verzoek uitvoert in diens plaats. In beide gevallen doet de dader zich voor als een vertrouwde derde, het patroon dat Cybermalveillance.gouv.fr beschrijft voor phishing: het slachtoffer misleiden om bank- of persoonsgegevens te bemachtigen1.

CISA raadt af het nummer in het verdachte bericht te bellen en adviseert het bedrijf of de persoon via een andere weg te bereiken2. Deze pagina legt uit waarom dit werkt en welke valkuilen het omzeilen.

Directe vragen

Wat is een frauduleus verzoek om een rekeningnummer te wijzigen?

Het is een verzoek dat van een leverancier of een directielid lijkt te komen en bedoeld is om bankgegevens te wijzigen of een spoedbetaling op gang te brengen. De hier aangehaalde bronnen behandelen dit geval niet onder die naam: ze beschrijven phishing in het algemeen. Volgens Cybermalveillance.gouv.fr gaat het om een nepbericht, sms of telefoontje, voorgesteld als afkomstig van een vertrouwde derde, om persoonlijke of bankgegevens te verkrijgen1. Het doel is die gegevens frauduleus te gebruiken1.

Waarom terugbellen op een nummer dat al geregistreerd is?

Omdat de contactgegevens in het bericht door de oplichter zijn gekozen. CISA vraagt om op geen enkele link te klikken en geen nummer uit het verdachte bericht te bellen, en om het bedrijf of de persoon via een andere weg te bereiken2. Het adviseert de contactgegevens van een geverifieerde site te halen, of de persoon via een ander kanaal te benaderen om na te gaan of die echt geschreven heeft2.

Een tweede tekst van CISA wijst in dezelfde richting: bij twijfel neemt u rechtstreeks contact op met het bedrijf, zonder de contactgegevens te gebruiken van een site die aan het verzoek gekoppeld is, en zoekt u die in eerdere documenten (afschriften, brieven)3.

Waarom is het verzoek altijd dringend?

Haast is een alarmsignaal. CISA noemt onder de gebruikelijke signalen dringende of emotioneel geladen taal, in het bijzonder berichten die ernstige gevolgen aankondigen als er niet direct wordt gereageerd2. MITRE merkt op dat phishing om informatie te verzamelen vaak verloopt via meerdere berichten die dringend lijken4.

Is een e-mail van het juiste adres betrouwbaar?

Nee. MITRE beschrijft aanvallers die e-mailaccounts compromitteren om ze daarna voor phishing te gebruiken5. Een account dat het slachtoffer al kent, kan vertrouwen wekken, en de aanvaller kan bestaande gesprekken kapen5. Het getoonde adres bewijst dus niet dat de afzender de echte accounthouder is.

Wat als de betaling al is verstuurd?

Waarschuw zonder uitstel. CISA beveelt aan om elke prijsgegeven gevoelige informatie te melden aan de juiste persoon in de organisatie, netwerkbeheerders inbegrepen, en onmiddellijk contact op te nemen met de financiële instelling als accounts mogelijk gecompromitteerd zijn3. Cybermalveillance.gouv.fr voegt toe dat u het bewijsmateriaal moet bewaren, met name het ontvangen bericht, en aangifte moet doen bij frauduleuze afschrijvingen1.

1Hoe het werkt1 min

Terugbellen berust op een eenvoudig principe: de oplichter beheerst het bericht, niet het dossier. Het nummer dat vóór het verzoek was geregistreerd, is niet door de afzender van het bericht aangeleverd. CISA raadt bovendien aan de contactgegevens van een pagina die aan het verzoek gekoppeld is niet te gebruiken, maar die in eerdere documenten te zoeken3.

De identiteit van een afzender kan worden nagebootst: MITRE noemt het vervalsen van de identiteit van de afzender, wat zowel de ontvanger als automatische beveiligingstools kan misleiden4. CISA voegt toe dat adressen vaak die van een echt bedrijf nabootsen, door enkele tekens te wijzigen of weg te laten3.

2Wat u doet1 min

De onderstaande stappen steunen op de controleadviezen van de hier aangehaalde bronnen. Goedkeuring door een tweede persoon staat daar niet in: dat is een interne procedureregel, die het bedrijf zelf moet vastleggen.

  • Beantwoord het bericht niet en klik niet op links of bijlagen van het verzoek2.
  • Zoek de contactgegevens van de aanvrager in eerdere documenten, niet op een site die aan het verzoek gekoppeld is3.
  • Neem rechtstreeks contact op met het bedrijf of de persoon om het verzoek te controleren3, vóór elke wijziging van een rekeningnummer of elke betaling.
  • Laat het verzoek goedkeuren door een aangewezen tweede persoon voordat u de handeling uitvoert.
  • Kunt u de aanvrager niet bereiken, betaal dan niet en wijzig niets. Meld het verzoek intern.
  • Bewaar het ontvangen bericht: Cybermalveillance.gouv.fr benadrukt het bewaren van bewijsmateriaal1.
3De valkuilen2 min

Haast en geheimhouding

Een verzoek dat aandringt of verbiedt erover te praten, maakt het terugbellen en de tweede goedkeuring onmogelijk. CISA rekent haast tot de signalen die u moet herkennen2. De hier aangehaalde bronnen beschrijven het verzoek om geheimhouding niet: beschouw het als een extra reden om te controleren.

De vervalste of gekaapte e-mail

Een adres dat bijna gelijk is aan het echte, is een klassiek signaal: CISA geeft het voorbeeld van een adres als amazan.com2. Maar een exact adres is niet genoeg, want een gekaapt account kan worden gebruikt om de contacten van de houder te schrijven5. De hier aangehaalde bronnen geven geen reden om op de e-mail alleen te vertrouwen.

De verborgen doorstuurregel

Een aanvaller die een account heeft overgenomen, kan ongezien de mailbox in de gaten houden. MITRE beschrijft regels voor het doorsturen van e-mail, die dienen om de activiteit van het slachtoffer te volgen en informatie te stelen6. Zulke regels kunnen de toegang tot berichten behouden, zelfs na een reset van de inloggegevens, en kunnen in sommige tools worden verborgen6. Een gesprek dat normaal lijkt, kan dus worden bespied of zelfs gekaapt.

Het verzoek van binnenuit

Een bericht van een collega of een directielid is niet per se veilig. MITRE beschrijft interne phishing, waarbij gecompromitteerde accounts andere leden van de organisatie viseren, en noemt een groep die zich richtte op leidinggevenden, personeelszaken en IT7. De boekhouding wordt daar niet genoemd, maar het principe is hetzelfde: erbij horen vervangt de controle niet.

De valse factuur

De hier aangehaalde bronnen beschrijven de valse factuur niet als zodanig. Een tekst van CISA waarschuwt voor ongevraagde bijlagen3. CISA noemt verzoeken om persoonlijke en financiële informatie2. Een factuur met nieuwe bankgegevens valt onder deze waarschuwing: terugbellen werkt op dezelfde manier.

Fiche

Identificatie
CP-356
Vleugel
5. Kantoorleven en reflexen
Brain-competentie
Oplichting voorkomen (handle_scams)
Brain-reflex
cr-080
Schema
G5 · Beslisboom voor de reflex
Talen
de, en, es, fr, it, nl
Bronnen
7 bronnen gecontroleerd op 3 november 2026
Bronnen7 bronnen
  1. Cybermalveillance.gouv.fr, “Que faire en cas de phishing ou hameçonnage ? - Assistance aux victimes de cybermalveillance”, 10 januari 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (geraadpleegd op 3 november 2026)
  2. CISA, “Recognize and Report Phishing | CISA”. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (geraadpleegd op 3 november 2026)
  3. CISA, “Avoiding Social Engineering and Phishing Attacks | CISA”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Compromise Accounts: Email Accounts, Sub-technique T1586.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1586/002/ (geraadpleegd op 3 november 2026)
  6. MITRE ATT&CK, “Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1114/003/ (geraadpleegd op 3 november 2026)
  7. MITRE ATT&CK, “Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1534/ (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Terugbellen vóór een wijziging van rekeningnummer”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/terugbellen-bekend-nummer-wijziging-rekeningnummer/

BibTeX 
@misc{brain_cp356_nl_2026,
  author = {Brain},
  title = {Terugbellen vóór een wijziging van rekeningnummer},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/terugbellen-bekend-nummer-wijziging-rekeningnummer/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0