Factuur met een vals IBAN: hoe de deskundige vaststelt welke mailbox gehackt werd

Een tussenpersoon ontvangt een e-mail van een adres dat maar één letter verschilt van dat van de verkoper, met de factuur van de verkoop, 103.375,64 euro, en de bijbehorende bankgegevens. Hij stuurt alles door naar de koper, die betaalt. De rekening blijkt van een fraudeur te zijn; het geld komt nooit terug. Op 17 juni 2026 vernietigde het Franse Hof van Cassatie het arrest dat deze betaling bevrijdend had verklaard. Blijft een technische vraag die vaak de doorslag geeft: waar is de fraude ontstaan?

Wie de fraudeur betaalt, riskeert twee keer te betalen

Volgens het Franse Burgerlijk Wetboek is een betaling te goeder trouw aan een "schijnschuldeiser" geldig (artikel 1342-3). Maar wie zich de identiteit van de schuldeiser toe-eigent, is volgens het Hof geen schijnschuldeiser. Het geschil verschuift dan vaak: heeft iemand de fraude door nalatigheid mogelijk gemaakt? Het antwoord ligt in technische feiten.

In België waarschuwde de federale gerechtelijke politie Antwerpen op 14 mei 2026 voor een grotendeels geautomatiseerde variant. Met wachtwoorden die meestal uit eerdere datalekken komen, dringen daders mailboxen binnen en volgen ze de inkomende e-mails. Het rekeningnummer en de gestructureerde mededeling in de bijgevoegde factuur worden vervangen, waarna het document, dat er identiek uitziet, in de mailbox wordt teruggeplaatst of rechtstreeks naar de bestemmeling gaat. Sinds 9 oktober 2025 moeten de banken in de eurozone gratis een controle van de naam van de begunstigde aanbieden. Nuttig, maar die controle vergelijkt een naam met een IBAN; ze zegt niets over de echtheid van het bericht dat de wijziging aankondigde.

Eerste vraag: waar komt het bericht vandaan?

De analyse vertrekt van het frauduleuze bericht in zijn oorspronkelijke formaat (.eml- of .msg-bestand): bij een schermafbeelding of een doorgestuurde e-mail gaat het essentiële verloren. De headers tonen de weg van server tot server en het resultaat van de authenticatiecontroles van het afzenderdomein (SPF, DKIM, DMARC).

Ofwel komt het bericht van een adres dat het adres van de leverancier nabootst, zoals in de Franse zaak, vaak via een gelijkend domein: de mailbox van de leverancier werd dan niet noodzakelijk gebruikt. Ofwel komt het van het echte adres: die controles helpen dan om een loutere vervalsing van het afzenderadres te onderscheiden van een werkelijke verzending vanuit de mailbox van de leverancier, wat op een gehackt account wijst. Meestal kende de dader de transactie en het bedrag: hij had dus toegang tot echte e-mailwisselingen, bij een van de partijen of bij een tussenpersoon.

Ook de bijlage spreekt. Wie de hashwaarde van de factuur in de verzonden items vergelijkt met die van de ontvangen factuur, ziet of het document werd gewijzigd. De interne metadata en de structuur van het pdf-bestand, dat soms sporen van een eerdere versie bewaart, kunnen een aanpassing verraden.

Tweede vraag: wie had toegang tot de mailbox?

In Microsoft 365, dat in kmo's wijdverspreid is, vullen verschillende logboeken elkaar aan:

• De aanmeldingslogboeken (Microsoft Entra ID): wie, wanneer, vanaf welk IP-adres, met welke toepassing, met of zonder multifactorauthenticatie. Die volstaat niet altijd: al in 2022 beschreef Microsoft phishingcampagnes die de reeds geauthenticeerde sessie onderscheppen om daarna betalingsfraude te plegen.
• Het auditlogboek (Microsoft Purview): de handelingen in de mailbox. Eerst zoekt men naar verdachte inboxregels, die bijvoorbeeld de berichten van een klant, of berichten met "factuur" of "betaling", naar een weinig bekeken map verplaatsen of als gelezen markeren. Met die techniek, opgenomen in de MITRE ATT&CK-databank, kan het gesprek doorgaan buiten medeweten van de eigenaar. Men zoekt ook naar automatische doorsturing naar externe adressen en, afhankelijk van de licentie en de configuratie, naar de gebeurtenis MailItemsAccessed, die helpt vaststellen welke berichten werden geopend.
• De berichttracering: verzonden en ontvangen berichten van de voorbije 90 dagen, ook die welke de indringer nadien wiste. Een verwijderd bericht, zelfs uit de prullenbak, blijft in principe standaard 14 dagen herstelbaar.

Ontvangen beveiligingswaarschuwingen (riskante aanmelding, onmogelijke reis) en het gevolg dat eraan werd gegeven, tonen ook wat de organisatie kon weten, en wanneer. Bij mailproviders voor particulieren zijn de beschikbare logboeken vaak veel beperkter.

De tijd werkt tegen het bewijs

De aanmeldingslogboeken die in Microsoft Entra ID te raadplegen zijn, gaan maar 7 dagen terug zonder licentie Entra ID P1 of P2, 30 dagen met. Het auditlogboek wordt in de standaardversie 180 dagen bewaard. De fraude komt echter vaak pas aan het licht wanneer de leverancier een herinnering stuurt voor een factuur die hij onbetaald waant, soms weken later. En wat niet werd gelogd, valt achteraf niet te reconstrueren.

De eerste stappen tellen: de bank onmiddellijk verwittigen en klacht indienen; het wachtwoord wijzigen en de open sessies afsluiten; het frauduleuze bericht in zijn oorspronkelijke formaat bewaren, de logboeken exporteren en verdachte regels documenteren voordat ze worden verwijderd. Ga ook onverwijld na of een datalek moet worden gemeld aan de Gegevensbeschermingsautoriteit: de AVG vraagt dat, waar mogelijk, binnen 72 uur. Beveiligen, ja; sporen wissen, nee.

Wat de deskundige kan besluiten

Een grondige analyse onderzoekt beide kanten, en eventueel een tussenpersoon die in kopie stond. Weigert een partij de toegang tot haar systemen, dan beperken de conclusies zich tot wat werd onderzocht. Ze blijven genuanceerd: sporen die verenigbaar zijn met een niet-geautoriseerde toegang tot een bepaalde mailbox vanaf een bepaalde datum, geen sporen in de beschikbare logboeken, of verstreken logboeken die geen uitspraak toelaten. Die voorzichtigheid maakt het verslag bruikbaar voor de rechter, de advocaat of de verzekeraar.

Wat u moet onthouden

Bij fraude met een vals IBAN verwijst de vraag "wie draagt het verlies?" vaak naar een andere: "welke mailbox lekte, en wie had het kunnen merken?". Het antwoord steunt op logboeken, headers en hashwaarden, niet op schermafbeeldingen, op voorwaarde dat ze tijdig werden veiliggesteld.

Cyber Praxis staat in voor digitaal forensisch onderzoek en gerechtelijke expertise, van het veiligstellen van de logboeken tot het deskundigenverslag.

Bronnen: Frans Hof van Cassatie (handelskamer), 17 juni 2026, nr. 24-13.306, tekst van het arrest (Légifrance, in het Frans); federale gerechtelijke politie Antwerpen, waarschuwing van 14 mei 2026 (in het Frans).