Een financiël medewerker ontvangt een videogesprek van zijn CEO. De toon is urgent: er moet snel een internationale overboeking plaatsvinden, vertrouwelijk, buiten de normale kanalen. De medewerker herkent het gezicht, de stem, de manier van praten. Hij maakt de overboeking. Later blijkt dat de CEO nooit heeft gebeld — het was een deepfake. Dit scenario speelt zich niet alleen af in Hollywood-thrillers. Het is een methode die criminelen actief inzetten tegen Nederlandse bedrijven.
De schaal van het probleem in Nederland
In 2024 werden bij Nederlandse verzekeraars bijna tienduizend gevallen van deepfake-fraude geregistreerd, goed voor een totale schade van honderd miljoen euro. Dat zijn alleen de gevallen die door verzekeraars werden gemeld — het werkelijke aantal ligt hoger, omdat veel slachtoffers aangifte noch melding doen uit reputatieoverwegingen. De dreiging groeit ook buiten financiële fraude. ABN AMRO ontving interne signalen over rekeningen die waren geopend met gemanipuleerde gezichtsbeelden, waarbij deepfake-technologie was gebruikt om verificatiesystemen te omzeilen. En in een recent strafrechtelijk onderzoek bleek een verdachte 46 bankrekeningen te hebben geopend door zijn pasfoto met AI te combineren met foto’s van andere personen.
Hoe CEO-fraude via deepfakes werkt
De klassieke CEO-fraude werkte via valse e-mails. De nieuwe variant is geloofwaardiger en moeilijker te weigeren: aanvallers klonen de stem van een directeur op basis van publieke audiofragmenten — interviews, podcasts, YouTube-video’s — en bellen medewerkers op. Sommige aanvallen gebruiken zelfs realtime videosynthese, waarbij een live imitator gerenderd wordt als het gezicht van de CEO. De aanvaller heeft doorgaans uitgebreide informatie verzameld: wie is de CFO, welke leveranciers zijn er, wanneer is de directeur op reis. Die informatie is vaak openbaar beschikbaar via LinkedIn, persberichten en de bedrijfswebsite.
Detectietools: wat werkt en wat niet
De detectiemarkt voor deepfakes groeit snel, maar er is een fundamenteel probleem: detectiemodellen lopen achter op generatiemodellen. Elk nieuw deepfake-model traint op de zwakheden die detectietools hebben geleerd te herkennen. Desondanks zijn er bruikbare tools voor bedrijven.
- Microsoft Azure AI Content Safety — cloudgebaseerde API die manipulatie in beeld en audio detecteert, geschikt voor integratie in verificatieprocessen
- Intel FakeCatcher — werkt op basis van bloedstroompatronen in gezichtspixels die bij deepfakes ontbreken, lage fout-positieven bij hoge resolutie
- Sensity AI — gespecialiseerd platform voor enterprise deepfake-detectie, inclusief monitoring van openbare media
- Hive Moderation — API-gebaseerde detectie bruikbaar voor content-platforms en financiële instellingen
- Reality Defender — realtime detectie voor videoconferenties, beschikbaar als plug-in voor Zoom en Teams
Geen van deze tools biedt honderd procent zekerheid. De praktische aanbeveling voor bedrijven: gebruik detectietechnologie als één laag in een bredere verdediging, nooit als enige maatregel. Procesmatige verificatie — terugbellen via een bekend telefoonnummer, twee-persoons autorisatie bij grote overboekingen — is minstens zo belangrijk.
Wat NIS2 en AVG vereisen van uw organisatie
De Nederlandse implementatie van de NIS2-richtlijn — de Cyberbeveiligingswet — treedt op 1 juli 2026 in werking. Voor bedrijven in kritieke sectoren brengt dit concrete verplichtingen mee op het gebied van risicobeheer, incidentmelding en leveranciersbeveiliging. Deepfakes vallen als aanvalsvector onder de risicobeheersverplichtingen. De AVG speelt een andere maar even relevante rol. Wie deepfake-detectiesystemen inzet die biometrische data verwerken — gezichtskenmerken, stempatronen — heeft te maken met bijzondere persoonsgegevens. Verwerking daarvan is in principe verboden, tenzij er een uitdrukkelijke wettelijke grondslag of uitdrukkelijke toestemming is.
| Maatregel | Type | Kosten | Effectiviteit |
|---|---|---|---|
| Tweepersoons autorisatie betalingen | Procesmatig | Laag | Hoog |
| Verificatieprotocol via terugbellen | Procesmatig | Laag | Hoog |
| Deepfake-detectie API | Technisch | Middel | Middel-hoog |
| Bewustzijnstraining medewerkers | Organisatorisch | Laag-middel | Hoog |
| Realtime video-verificatietool (Zoom/Teams) | Technisch | Middel-hoog | Middel |
| Incident response plan voor identiteitsfraude | Organisatorisch | Laag | Hoog (bij incident) |
Bewustwording als eerste verdedigingslinie
Technologie lost het deepfake-probleem niet alleen op. De meest effectieve maatregel blijft het trainen van medewerkers om verdachte communicatiepatronen te herkennen. Concreet betekent dat: weet wat normale communicatieprocedures zijn binnen uw organisatie, ken de redenen om te twijfelen (urgentie, vertrouwelijkheid, buiten normale kanalen), en weet wat je moet doen als je twijfelt. Organisaties als het NCSC geven aan dat phishing, vishing en deepfake-aanvallen overtuigender worden door AI-ondersteunde lokalisatie en personalisatie.
Concrete stappen voor Nederlandse organisaties
- Stel een verificatieprotocol in voor alle betalingsopdrachten boven een drempelbedrag — minimaal twee handtekeningen, terugbelplicht via bekende nummers
- Inventariseer welke publiek beschikbare audio en video er van uw directie bestaat — weet wat aanvallers als bronmateriaal kunnen gebruiken
- Neem deepfakes expliciet op in uw risicoregister en NIS2-documentatie
- Voer minimaal jaarlijks een bewustzijnstraining uit met simulaties van deepfake-aanvallen
- Spreek met uw verzekeraar over dekking van deepfake-gerelateerde fraude — polissen variëren sterk op dit punt