Een ondernemer denkt zelden dat zijn bedrijf interessant genoeg is voor deepfakefraude. Tot er op vrijdagmiddag een voicemail binnenkomt die precies klinkt als de directeur. Of een WhatsApp met de juiste toon, een bekende projectnaam en een verzoek dat net dringend genoeg is om door te drukken. AI-cyberweerbaarheid voor het MKB gaat daarom niet over angst voor sciencefiction, maar over één simpele vraag: wat doet je team wanneer nep echt genoeg klinkt?
Dit artikel is voor Nederlandse ondernemers, office managers, boekhouders en kleine teams die betalingen, klantdata of toegangsrechten beheren. Je hebt geen security-afdeling nodig om beter voorbereid te zijn. Je hebt een vaste oefening nodig die laat zien waar je proces breekt voordat een aanvaller dat ontdekt.
TL;DR: oefen het moment, niet de theorie - AI-phishing is gevaarlijk omdat taal, timing en toon steeds geloofwaardiger worden. - Een deepfake stem of perfecte mail mag nooit genoeg bewijs zijn voor betaling. - Oefen één realistisch betaalverzoek met je team binnen 60 minuten. - Meet of mensen het tweede kanaal, vier-ogen-principe en logboek gebruiken. - Verbeter daarna één procesregel, niet tien tegelijk.
Waarom AI-fraude juist kleine teams raakt In kleine bedrijven zijn lijnen kort. Dat is normaal een voordeel. De boekhouder kent de eigenaar, de planner kent de klant, de projectleider schakelt snel met leveranciers. Maar dezelfde snelheid kan tegen je werken wanneer een aanvaller urgentie, herkenbare taal en hiërarchie combineert. AI maakt dat makkelijker: een nette mail is in seconden geschreven, een stijl kan worden nagebootst en openbare informatie van LinkedIn of je website geeft context.
Het gaat niet alleen om technische zwakte. Veel incidenten ontstaan doordat normale mensen behulpzaam willen zijn. Iemand wil een leverancier niet laten wachten. Iemand wil de directeur niet lastigvallen. Iemand denkt: dit zal wel kloppen, want de details zijn zo specifiek. Precies daar moet je cyberweerbaarheid zitten: in afspraken die sterker zijn dan sociale druk.
Een oefening werkt beter dan een waarschuwing. Na een presentatie knikt iedereen. Tijdens een scenario zie je of iemand echt terugbelt via een bekend nummer, of toch antwoordt in dezelfde chat. Dat verschil is goud waard.
De oefening van 1 uur: zo pak je het aan Plan 60 minuten met iedereen die betalingen kan aanvragen, goedkeuren of uitvoeren. Zet de sessie niet neer als examen, maar als brandalarm-oefening. Het doel is niet iemand betrappen. Het doel is ontdekken welke stappen onduidelijk zijn.
Voorbereiding kost 15 minuten. Kies een herkenbaar scenario: een leverancier meldt een nieuw IBAN, de directeur vraagt om spoedbetaling, of een klant vraagt om export van gegevens. Maak één nepbericht dat realistisch is, maar niet kwaadaardig wordt verstuurd buiten de oefening. Gebruik geen echte deepfake-audio van een collega zonder expliciete toestemming; beschrijf desnoods dat er een voicemail is met een overtuigende stem.
Tijdens de oefening leest iemand het scenario voor. Het team moet hardop beslissen: wat is het risico, welke tweede controle gebruiken we, wie keurt goed, waar leggen we vast dat we gecontroleerd hebben? Noteer elke aarzeling. Aarzeling betekent niet falen. Het betekent dat je proces nog niet duidelijk genoeg is.
Scenario: de spoedbetaling van 4.750 euro Gebruik bijvoorbeeld dit scenario. Het is vrijdag 16:32. Een bericht lijkt van de eigenaar te komen: “Kun je deze factuur vandaag nog voldoen? Leverancier dreigt levering maandag te stoppen. Ik zit in de auto, bellen lukt niet. Factuur en nieuw rekeningnummer staan in de bijlage.” Kort daarna komt een voicemail met een stem die op de eigenaar lijkt: “Graag nu oppakken, anders loopt planning vast.”
Vraag het team wat er gebeurt. Een sterk proces zegt: spoed verhoogt risico. Nieuw IBAN vereist verificatie via bekend kanaal. Bellen naar een bekend nummer mag, maar de inkomende voicemail is geen bewijs. Boven het grensbedrag is tweede goedkeuring nodig. De uitkomst komt in het betaal- of leverancierslogboek.
Als iemand zegt “maar de stem klinkt echt”, heb je precies het leermoment gevonden. In 2026 is stemherkenning geen controlemechanisme meer. Het proces moet bepalen wat waar is, niet het gevoel.
De drie controles die je wilt zien Controle 1 is kanaalscheiding. Een verzoek mag binnenkomen via mail, chat of telefoon, maar verificatie gebeurt via een ander, vooraf bekend kanaal. Dus niet terugmailen naar de verdachte afzender en niet bellen naar het nummer in de mail. Gebruik CRM, contract, leveranciersportaal of eerder vastgelegd telefoonnummer.
Controle 2 is rolverdeling. Degene die een wijziging ontvangt, is niet automatisch degene die hem definitief doorvoert. Bij nieuwe betaalgegevens of bedragen boven je grens is minimaal één extra persoon betrokken. Voor een zzp’er kan dat een externe boekhouder, partner of vaste wachttijd zijn. Vier ogen hoeft niet groot te zijn; het moet wel bestaan.
Controle 3 is bewijs. Leg vast wie gecontroleerd heeft, via welk kanaal, wanneer en wat de uitkomst was. Een regel in je boekhoudpakket is genoeg. Zonder log verdwijnt de les na de drukte van de dag.
Wat je meet tijdens de oefening Meet geen technische scores. Meet gedrag. Hoe lang duurde het voordat iemand “tweede kanaal” zei? Wist iedereen waar het bekende telefoonnummer staat? Was duidelijk welk grensbedrag geldt? Wist iemand waar de controle wordt gelogd? Durfde iemand de betaling te vertragen ondanks urgentie?
Geef elke vraag rood, oranje of groen. Rood betekent: we hebben geen afspraak. Oranje betekent: iemand weet het, maar het staat nergens vast. Groen betekent: het staat vast en is makkelijk uitvoerbaar. Na één uur wil je maximaal twee rode punten overhouden, anders probeer je te veel tegelijk op te lossen.
Maak het proces lichter, niet zwaarder De valkuil is dat ondernemers na zo’n oefening een handboek van 12 pagina’s maken. Dat wordt niet gebruikt. Maak liever één betaalkaart van maximaal 10 regels. Hang hem bij administratie, zet hem in Notion, SharePoint of je boekhoudmap, en herhaal hem bij onboarding.
Voorbeeldregels: nieuwe IBAN nooit op één bericht; spoed is extra controle; boven 1.000 euro tweede akkoord; boven 5.000 euro eigenaar plus administratie; inkomende stem is geen bewijs; terugbellen alleen via bekend nummer; uitzonderingen altijd loggen. Pas bedragen aan je eigen bedrijf aan.
Gebruik daarnaast techniek als vangrail. MFA op mail, bank en boekhouding. Beperkte rechten voor leveranciersgegevens. Banklimieten die passen bij dagelijkse betalingen. Updates en back-ups op orde. Maar onthoud: tooling ondersteunt het protocol, het vervangt het niet.
Checklist: deepfake betaalverzoek-oefening - Kies één realistisch scenario met spoed, nieuw IBAN of stembericht - Nodig iedereen uit die betaling kan beïnvloeden - Spreek af dat het een oefening is, geen schuldvraag - Test tweede kanaal, vier ogen, grensbedragen en logging - Noteer rode/oranje/groene punten - Verbeter maximaal drie procesregels direct na afloop - Plan over 30 dagen een herhaling met een nieuw scenario
Veelgestelde vragen ### Moeten we echte deepfake-audio maken voor de oefening? Nee. Dat kan ongemakkelijk en privacygevoelig zijn. Beschrijf liever dat er een overtuigende voicemail is, of gebruik een neutrale teststem met toestemming. Het gedrag dat je oefent blijft hetzelfde. ### Is dit ook nodig bij kleine bedragen? Niet elk bedrag verdient dezelfde frictie. Werk met grenzen. Kleine bedragen krijgen basiscontrole, nieuwe betaalgegevens of spoed krijgen extra controle, en hoge bedragen krijgen vier ogen. ### Hoe vaak moet je oefenen? Voor de meeste MKB-teams is elk kwartaal een scenario van 30 tot 60 minuten haalbaar. Bij veel betalingsverkeer of recente personeelswissels is maandelijks kort oefenen verstandiger.
Conclusie AI-cyberweerbaarheid voor het MKB begint niet met dure software. Het begint met een team dat weet wat het doet wanneer een verzoek echt klinkt, dringend voelt en financieel risico heeft. Een deepfake betaalverzoek-oefening van één uur maakt zichtbaar of je afspraken werken onder druk.
Plan deze oefening deze maand. Niet omdat je bang moet zijn, maar omdat professioneel vertrouwen in 2026 een proces nodig heeft. De beste fraude is de fraude die saai strandt op een vaste controle.
Direct toepasbare prompt
"Geef me een praktische aanpak voor [probleem] voor een Nederlands mkb-bedrijf. Houd het kort, met concrete stappen en voorbeeldtekst."