Vals gewijzigd IBAN: wie betaalt de factuur?
Bijgewerkt op 12 november 2026.
Hoe de oplichting verloopt
Fraude met een vals gewijzigd IBAN (ook factuurfraude of fraude met een valse leverancier genoemd) is niet gesofisticeerd. Ze werkt omdat ze in een gewoonte past: facturen van bekende leveranciers betalen. Drie varianten komen steeds terug.
1. De mailbox van de leverancier is gehackt. Dat is de gevaarlijkste. De oplichter leest dagen of weken mee, ziet een grote factuur, en schrijft dan vanaf het echte adres, in de echte conversatie: "Wegens een bankwissel vragen wij u voortaan de onderstaande rekening te gebruiken." Toon, handtekening en bestelreferentie kloppen, want ze zijn gekopieerd.
2. Een adres dat erop lijkt. De fraudeur registreert een bijna identieke domeinnaam (leverancier-bv.be in plaats van leverancier.be, een "l" vervangen door een hoofdletter "I") en antwoordt op uw laatste bericht. Op een smartphone ziet u het verschil niet.
3. De gewijzigde factuur. Een papieren factuur of pdf wordt onderschept en ingescand, en alleen het IBAN wordt vervangen. De FOD Economie beschrijft dit scenario: de originele factuur wordt gedigitaliseerd en de gegevens van de leverancier worden met software aangepast.
In alle drie de gevallen komen twee ingrediënten terug: haast ("de betaling moet vandaag vertrekken") en een voorwendsel (audit, bankwissel, geblokkeerde rekening). Nu generatieve AI foutloos schrijft en een stem kan nabootsen op basis van enkele seconden opname, kan er zelfs een "bevestigingstelefoontje" volgen. We bespraken die technieken in ons artikel over AI in handen van oplichters (in het Frans).
Hoeveel slachtoffers in België?
Openbare cijfers meten alleen wat gemeld wordt. De FOD Economie ontving 215 meldingen van factuurfraude in 2024, voor meer dan 3,3 miljoen euro aangegeven schade, en daarna 166 meldingen en 736.719 euro in 2025, tot 9 oktober (cijfers overgenomen door Febelfin). Veel bedrijven melden niets, uit discretie of omdat ze de zaak met hun leverancier regelen: de werkelijkheid ligt dus hoger.
Een fictief voorbeeld
Verzonnen geval, opgebouwd uit veelvoorkomende situaties. Een schrijnwerkerij met acht mensen in de buurt van Namen krijgt op een dinsdagochtend een e-mail van haar plaatleverancier, in de gebruikelijke conversatie: de leverancier verandert van bank, hier is het nieuwe IBAN, en de factuur van 18.400 euro moet voor vrijdag betaald zijn om de volgende levering te verzekeren. De zaakvoerster voert de betaling in tussen twee afspraken. Drie weken later stuurt de leverancier een herinnering. De mailbox van zijn boekhouder was gehackt. Het geld was dezelfde dag nog van de rekening van de fraudeur verdwenen.
Wie betaalt als u de oplichter hebt betaald?
Dat is de eerste vraag die elke bedrijfsleider stelt, en het antwoord verrast vaak.
In principe blijft u schuldenaar. De FOD Economie zegt het duidelijk in zijn FAQ: de betalingsverplichting vervalt pas als de schuldeiser, dus de echte leverancier, betaald is. U zult dus in principe een tweede keer moeten betalen. De leverancier kan daarvan afzien; weigert hij en betwist u het, dan beslist een rechter.
Het Burgerlijk Wetboek (artikel 5.198) voorziet wel een uitzondering: een betaling te goeder trouw aan iemand die alle schijn had de schuldeiser te zijn, kan bevrijdend zijn. Maar rechters passen ze voorzichtig toe. Op 3 juni 2026 veroordeelde de rechtbank van eerste aanleg Antwerpen een online veilinghuis dat de opbrengst van een verkoop had gestort op een rekening uit een frauduleuze e-mail, verstuurd vanaf het gehackte adres van de verkoper. Het bericht bevatte fouten en een onsamenhangende zin: een "normaal voorzichtige" onderneming had de verkoper moeten bellen voor ze betaalde. De betaling werd niet bevrijdend geacht en het veilinghuis moest het saldo betalen, meer dan 7.000 euro, met interesten.
In de praktijk betekent dat drie dingen:
- zorgvuldigheid moet u bewijzen: kunt u aantonen dat er een procedure bestond en dat die gevolgd werd (telefoontje naar het gekende nummer, dubbele goedkeuring), dan staat u veel sterker;
- een genegeerde waarschuwing weegt zwaar: als uw bank u meldde dat de naam niet overeenkwam en u toch betaalde, wordt het moeilijk om goede trouw in te roepen;
- de gehackte leverancier is niet per se onschuldig: was zijn mailbox slecht beveiligd, dan kan het verlies onderhandeld of voor de rechter verdeeld worden. Dat is geen zekerheid, en het kost tijd en erelonen.
Kijk ook uw verzekeringscontract na: betalingsfraude kan gedekt, uitgesloten of geplafonneerd zijn, afhankelijk van de polis. Die vraag stelt u aan uw makelaar voor het incident.
Wat uw bank sinds oktober 2025 controleert
Sinds 9 oktober 2025 moeten alle banken (en andere betaaldienstverleners) in de eurozone bij elke overschrijving in euro controleren of de naam van de begunstigde die u invoert overeenkomt met het IBAN. Dat is de "verificatie van de begunstigde" (Verification of Payee), opgelegd door de Europese verordening 2024/886. De Belgische banken voerden ze geleidelijk in vanaf de zomer van 2025. De controle is gratis en automatisch.
Er zijn vier mogelijke resultaten:
| Resultaat | Wat de bank toont | Wat u moet doen |
|---|---|---|
| Overeenkomst | Niets bijzonders | Betalen |
| Bijna-overeenkomst | De geregistreerde naam (voor een onderneming) | Nagaan: een tikfout, of een naam die alleen maar lijkt? |
| Geen overeenkomst | Een waarschuwing | Niet betalen voor u de leverancier hebt gebeld |
| Verificatie onmogelijk | Een melding daarvan | Behandel het als twijfel: bellen |
Dat is een echte stap vooruit: een fraudeur die het geld int op de rekening van een "geldezel" (iemand die zijn rekening uitleent) kan die rekening niet laten overeenstemmen met de naam van uw leverancier. Als u de naam van de leverancier intypt, waarschuwt de bank u.
Maar de controle heeft vier grenzen:
- Ze waarschuwt, ze blokkeert niet. Febelfin wijst erop: u blijft vrij om te betalen, en u blijft verantwoordelijk voor uw overschrijvingen.
- Ze geldt alleen voor overschrijvingen in euro binnen de eurozone. Een leverancier in het Verenigd Koninkrijk, in Zwitserland of in dollar valt erbuiten.
- Ze controleert de factuur niet. Heeft de oplichter een rekening geopend op naam van een bedrijf dat op uw leverancier lijkt, of neemt u de naam over die de fraudeur noteerde, dan kan de controle "bijna-overeenkomst" of zelfs "overeenkomst" geven.
- Ze kan uitgeschakeld worden voor groepsbetalingen. Een onderneming die haar betalingen in bulk verstuurt vanuit haar boekhoudsoftware, kan afzien van de controle (artikel 5c, lid 6, van de verordening). Werkt uw boekhouder of uw software zo, ga dan na of die optie niet aangevinkt is.
De vijf regels die de oplichting stoppen
Geen enkele vraagt een aankoop. Alle vragen discipline.
1. Een gewijzigd IBAN wordt telefonisch bevestigd, op het gekende nummer
Het nummer dat u belt, is dat uit uw leveranciersbestand, uw contract of de officiële website, nooit dat in de e-mail of op de factuur die de wijziging aankondigt. Antwoord niet op de e-mail om te "bevestigen": als de mailbox gehackt is, antwoordt de oplichter. Febelfin en de FOD Economie geven precies dat advies.
Schrijf het op in een nota van twee regels, ondertekend door de zaakvoerder, die iedereen die facturen betaalt gelezen heeft. Die nota bewijst uw zorgvuldigheid op de dag dat het nodig is.
2. Twee personen voor een ongewone betaling
De meeste Belgische banken bieden meervoudige handtekening aan voor zakelijke rekeningen: een overschrijving boven een bedrag dat u vastlegt, moet door twee personen goedgekeurd worden. In een kleine structuur kan de tweede persoon de zaakvoerder zijn, de externe boekhouder of een vennoot. De oplichter moet dan twee mensen misleiden in plaats van één.
3. De bankgegevens van leveranciers zijn vergrendeld
Wie kan in uw boekhoud- of facturatiesoftware het IBAN van een leverancier wijzigen? Is het antwoord "iedereen", beperk dat recht dan tot één of twee personen, en vraag of de software een wijzigingshistoriek bijhoudt. Een gewijzigd IBAN moet een spoor nalaten: wie, wanneer, op basis van welk telefoontje.
4. Een waarschuwing van de bank is nooit een detail
"De naam komt niet overeen" is geen bug die u moet omzeilen zodat de betaling doorgaat. Het is precies het signaal waarvoor het systeem ontworpen is. De interne regel is eenvoudig: bij een waarschuwing dringt u niet aan, u belt.
5. Haast + wijziging = stop
Een factuur die een nieuwe rekening en een dringende betaling combineert, of een "directeur" die een vertrouwelijke overschrijving vraagt, moet automatisch een stop uitlokken. Oplichters rekenen op tijdsdruk. Een uur vertraging voor een telefoontje heeft nog nooit een leverancier gekost; 18.000 euro die verdwenen is wel.
En de elektronische factuur?
Sinds 1 januari 2026 moeten facturen tussen Belgische btw-plichtige ondernemingen gestructureerde elektronische facturen zijn, in de praktijk uitgewisseld via het Peppol-netwerk. Dat levert u een nuttige reflex op: een "nieuwe factuur" of een "nieuw IBAN" dat alleen per e-mail als pdf binnenkomt, terwijl deze leverancier zijn facturen normaal via uw software stuurt, is verdacht. Peppol verkleint de ruimte voor fraudeurs, maar sluit ze niet uit: ook de account van de leverancier op zijn platform kan gehackt worden. Regel nr. 1 blijft gelden.
Als het uw bedrijf is dat wordt nagebootst
De fraude maakt twee slachtoffers: wie de oplichter betaalt, en de leverancier wiens naam als lokaas diende, die op zijn geld wacht en zijn klantrelatie beschadigd ziet. Stuurt u facturen uit, dan beschermen vier maatregelen uw klanten:
- beveilig uw mailboxen: tweestapsverificatie op alle mailboxen, vooral die van de boekhouding. Een gehackte mailbox is het vertrekpunt van de gevaarlijkste variant. Hangt uw e-mail af van een account dat haastig werd aangemaakt, lees dan ons artikel over het Microsoft-account;
- vermeld uw IBAN ook buiten de factuur: op uw bestelbonnen, uw algemene voorwaarden en uw website, zoals de FOD Economie aanraadt, zodat uw klanten kunnen vergelijken;
- kondig de regel aan: een zin op uw facturen zoals "Wij wijzigen ons rekeningnummer nooit via een gewone e-mail: bel ons bij twijfel";
- gebruik uw exacte juridische naam op uw facturen, die welke uw bank en de Kruispuntbank van Ondernemingen kennen: de naamcontrole werkt beter, en uw klanten krijgen minder onterechte waarschuwingen.
En als een klant zegt betaald te hebben terwijl u niets ontving, reageer dan snel: de FOD Economie raadt aan de klant snel te contacteren als een betaling uitblijft, voor het geld verdwenen is.
U hebt betaald? De eerste uren tellen
- Bel onmiddellijk uw bank, op het nummer van haar fraudedienst. Ze kan de bank van de begunstigde vragen de rekening te blokkeren of het geld terug te storten: hoe sneller u belt, hoe groter de kans. Vindt u dat nummer niet, dan brengt Fraudstop (078 170 170, hetzelfde nummer als Card Stop, 24 uur op 24 bereikbaar) u in contact met uw bank.
- Verwittig uw leverancier, telefonisch, op het gekende nummer: hij moet weten dat zijn mailbox misschien gehackt is, en andere klanten zijn mogelijk ook doelwit.
- Dien klacht in bij de politie en laat u registreren als benadeelde persoon: u wordt dan op de hoogte gehouden van het dossier. Worden de daders geïdentificeerd en vervolgd, dan kunt u zich burgerlijke partij stellen om schadevergoeding te vragen.
- Meld de fraude op ConsumerConnect, het meldpunt van de FOD Economie.
- Bewaar alle sporen: originele e-mails (geen schermafbeeldingen), facturen, rekeninguittreksels. Uw informaticus heeft de volledige headers van de berichten nodig.
- Controleer uw eigen mailboxen: kwam het bericht bij u binnen via een gehackte mailbox aan uw kant, dan zit de aanvaller er misschien nog in.
Wat Europa voorbereidt
Twee Europese teksten gaan de goede kant op, maar geen van beide beschermt uw kmo de komende maanden.
De verordening betalingsdiensten (PSR). Parlement en Raad bereikten op 27 november 2025 een politiek akkoord, en de Raad legde eind oktober 2026 zijn standpunt in eerste lezing vast. De tekst breidt de naamcontrole uit tot alle overschrijvingen en versterkt de aansprakelijkheid van banken die onvoldoende fraudepreventie toepassen. Het meest besproken terugbetalingsrecht gaat echter over een ander scenario: de oplichter die zich voordoet als bankmedewerker. De valse leverancier valt daar niet op dezelfde manier onder. Reken niet op deze tekst om een factuur terug te krijgen die op de verkeerde rekening betaald werd.
De Europese bedrijfsportefeuille (European Business Wallet). Voorgesteld door de Commissie op 19 november 2025, zou ze een onderneming toelaten zich online betrouwbaar te identificeren, en documenten te ondertekenen en uit te wisselen met dezelfde juridische waarde als in persoon. Op termijn wordt het makkelijker te bewijzen wie een factuur of een wijzigingsverzoek stuurt. Maar de tekst wordt nog onderhandeld tussen Parlement en Raad (standpunt van de Raad op 9 juni 2026, verslag van de ITRE-commissie van het Parlement op 10 september 2026), het gebruik blijft vrijwillig voor ondernemingen en de overheden krijgen ongeveer twee jaar om ze te aanvaarden. Het is een oplossing voor het einde van het decennium, niet voor uw volgende factuur.
Concreet: drie opties
| Optie | Kostprijs | Tijd | Risico |
|---|---|---|---|
| Niets doen | € 0 | Geen | Eén geslaagde fraude en u betaalt de factuur twee keer, zonder garantie dat u de eerste betaling terugkrijgt. De controle van de bank waarschuwt, maar wie gehaast is, kan eroverheen gaan. |
| Het zelf doen | € 0 (meervoudige handtekening: zie de voorwaarden van uw bank) | Een halve dag: de regel opschrijven, de dubbele handtekening activeren, de rechten in de boekhoudsoftware beperken, het team informeren | Laag voor het luik "betalingen". Blijft open: de beveiliging van uw mailboxen en uw domeinnaam, die technische kennis vraagt. |
| U laten begeleiden | Enkele uren dienstverlening | Een à twee dagen, gespreid | Het laagst: geschreven procedure, gecontroleerde mailboxen (tweestapsverificatie, verdachte doorstuurregels, bescherming van het domein), korte opleiding voor wie betalingen doet. |
De eerste stap kost niets en kan vandaag: regel nr. 1, opgeschreven en ondertekend.
Voor uw informaticus
Wat volgt, is voor wie uw mailboxen en accounts beheert. Voor de rest van het team volstaan de vijf regels.
- Microsoft 365- of Google Workspace-mail: meervoudige authenticatie voor alle accounts, zonder uitzondering voor de boekhouding of gedeelde accounts. Verouderde authenticatieprotocollen blokkeren.
- Mailboxregels: een aanvaller die in een mailbox zit, maakt vaak een regel die de antwoorden van de echte klant verplaatst of verwijdert (trefwoorden "IBAN", "betaling", "factuur"), of alles doorstuurt naar een extern adres. Controleer de inboxregels en het automatisch extern doorsturen (in Exchange Online:
Get-InboxRule, en het beleid voor uitgaande spamfiltering dat automatisch doorsturen regelt). - Domein van de onderneming: SPF, DKIM en DMARC publiceren, en DMARC geleidelijk naar
p=quarantineen daarnap=rejectbrengen. Dat verhindert rechtstreekse vervalsing van uw domein, niet de registratie van een domein dat erop lijkt. - Lookalike-domeinen: een tool als
dnstwist(open source) toont welke varianten van uw domeinnaam al geregistreerd zijn. Een recent geregistreerde variant met een actieve mailserver verdient een alarm. - Boekhoudsoftware: het recht om een leveranciersfiche te wijzigen scheiden van het recht om betalingen voor te bereiden, en het wijzigingslogboek inschakelen.
- Bank: nagaan of de onderneming niet heeft afgezien van de naamcontrole voor groepsbetalingen, en drempels voor meervoudige handtekening instellen.
- Inventaris van de toegangen: weten wie toegang heeft tot de online bankrekeningen, de mailboxen van de boekhouding en de beheerconsole van de domeinnaam. Onze audit van externe toegangen en ons artikel over de valkuilen van een klein pc-park geven de werkwijze.
Test uzelf
Bronnen
A&O Shearman. (2026, 23 oktober). Council first reading position with a view to adoption of proposed payment services package. https://finreg.aoshearman.com/council-first-reading-position-with-a-view-to-adoption-of-proposed-payment-services-package
Europees Parlement. (2025, 27 november). Payment services deal: More protection from online fraud and hidden fees. https://www.europarl.europa.eu/news/en/press-room/20251121IPR31540/payment-services-deal-more-protection-from-online-fraud-and-hidden-fees
Europees Parlement. (z.d.). European business wallets. Legislative Train Schedule. https://www.europarl.europa.eu/legislative-train/theme-a-new-plan-for-europe-s-sustainable-prosperity-and-competitiveness/file-european-business-wallet
Febelfin. (2025a, 23 juni). Verification of the beneficiary's name: banks start gradual introduction. https://febelfin.be/en/press-room/fraude-veiligheid/verification-of-the-beneficiary-s-name-banks-start-gradual-introduction
Febelfin. (2025b, 9 oktober). La vérification du nom du bénéficiaire est étendue et renforce la lutte contre la fraude à la facture. https://febelfin.be/fr/presse/fraude-et-securite/la-verification-du-nom-du-beneficiaire-est-etendue-et-renforce-la-lutte-contre-la-fraude-a-la-facture
Febelfin. (2026, 30 juli). Fraudstop: more than 6,700 calls one month after launch. https://febelfin.be/en/press-room/fraude-veiligheid/fraudstop-more-than-6-700-calls-one-month-after-launch
FOD Economie. (2019, 18 juni). Facture payée ? Pas sûr… https://news.economie.fgov.be/178189-facture-payee-pas-sur/
FOD Economie. (2025a, 27 januari). Fraude à la facture : questions fréquemment posées. https://economie.fgov.be/fr/themes/protection-des-consommateurs/stop-arnaques/formes-darnaques/vous-avez-un-probleme-avec-une/vous-avez-paye-une-facture/fraude-la-facture-questions
FOD Economie. (2025b, 9 oktober). La vérification du nom lié à l'IBAN : une nouvelle arme contre la fraude à la facture. https://news.economie.fgov.be/255219-la-verification-du-nom-lie-a-l-iban-une-nouvelle-arme-contre-la-fraude-a-la-facture/
FOD Economie. (z.d.). Fraude à la facture : votre client a payé mais vous n'avez rien reçu. https://economie.fgov.be/fr/themes/protection-des-consommateurs/stop-arnaques/les-principales-arnaques-en/fraude-la-facture/fraude-la-facture-votre-client
FOD Financiën. (2025). Period of tolerance during the first three months of 2026. e-invoice. https://einvoice.belgium.be/en/news/period-tolerance-during-first-three-months-2026
Lawbase. (2026, 24 juni). Veilinghuis betaalt aan fraudeur: rechter oordeelt dat onzorgvuldige betaling niet bevrijdend is [Rb. Antwerpen, 3 juni 2026]. https://www.lawbase.be/rechtspraak/veilinghuis-betaalt-aan-fraudeur-rechter-oordeelt-dat-onzorgvuldige-betaling-niet-bevrijdend-is
Raad van de Europese Unie. (2026, 9 juni). European business wallets: Council adopts negotiating position. https://www.consilium.europa.eu/en/press/press-releases/2026/06/09/european-business-wallets-council-adopts-negotiating-position/
Verordening (EU) 2024/886 van het Europees Parlement en de Raad van 13 maart 2024 tot wijziging van Verordeningen (EU) nr. 260/2012 en (EU) 2021/1230 en Richtlijnen 98/26/EG en (EU) 2015/2366 wat betreft directe overmakingen in euro. (2024). Publicatieblad van de Europese Unie. https://eur-lex.europa.eu/eli/reg/2024/886/oj