Deepfakefraude en vishing: herken een nagemaakte stem

Uw telefoon gaat tijdens een vergadering. Het nummer is onbekend, maar de stem klinkt vertrouwd. “Hoi, ik zit in de auto en kan niet lang praten. Die aanbetaling moet vandaag nog de deur uit. De gegevens staan in de mail.” Het klinkt als uw directeur. De toon klopt. Het ritme klopt. Zelfs de korte zinnen klinken goed.

Alleen weet de directeur nergens van.

Zo kan deepfakefraude in combinatie met vishing eruitzien. Vishing is voice phishing: oplichting die via een telefoongesprek wordt afgeleverd. Een deepfakestem of stemkloon voegt daar iets aan toe wat mensen bijna reflexmatig vertrouwen: een bekende stem.

Deepfakefraude draait niet alleen om technologie. Het draait om vertrouwen, stress en snelle beslissingen. De aanvaller wil niet dat u nadenkt. De aanvaller wil dat u reageert.

Dat betekent niet dat we paranoïde moeten worden. Het betekent dat belangrijke beslissingen verificatie nodig hebben, zeker wanneer er geld, toegang, persoonsgegevens of gevoelige bedrijfsinformatie in het spel is.

Deepfakefraude en vishing volgen dezelfde logica als AI-gestuurde phishing: de aanvaller bouwt een geloofwaardig verhaal en duwt het slachtoffer naar een snelle beslissing. Openbare informatie uit OSINT-onderzoek levert vaak het materiaal voor dat verhaal. Wie wil zien hoe die aanvalsketen in de praktijk wordt nagespeeld, vindt dat terug in onze social engineering-dienstverlening en in red teaming in de praktijk.

Wat is een deepfake?

Een deepfake is kunstmatig gemaakt of gemanipuleerd geluid, beeld of video dat een echt persoon imiteert. Met AI kan een aanvaller een stem maken die klinkt als een specifiek persoon, of een video waarin gezicht en mimiek bijzonder overtuigend overkomen.

Soms is een relatief klein stemfragment al genoeg. Een openbare lezing, een podcast, een conferentievideo, een YouTube-interview, een online training of een korte clip op sociale media kan bruikbaar materiaal opleveren.

Daarmee is de digitale voetafdruk een praktisch beveiligingsonderwerp geworden. Openbare video’s, profielen, conferentiefoto’s en berichten ondersteunen zowel OSINT-onderzoek als de voorbereiding van een deepfake.

Het risico beperkt zich daarom niet tot bekende personen. Managers, ondernemers, docenten, artsen, makelaars, verkopers, influencers en iedereen met openbaar beeld- of geluidsmateriaal kan een doelwit zijn.

Wat is vishing?

Vishing is voice phishing. Via een telefoongesprek of een spraakbericht probeert de aanvaller het slachtoffer te bewegen tot iets schadelijks of riskants.

Typische doelen zijn:

• geld overmaken,
• een sms-code doorgeven,
• een betaling bevestigen,
• een bankrekeningnummer wijzigen,
• een wachtwoord prijsgeven,
• een applicatie installeren,
• persoonsgegevens verstrekken,
• een link openen die per sms is gestuurd.

Vishing bestond al vóór AI. Oplichters belden mensen op en deden zich voor als bank, politie of technische helpdesk. AI voegt daar een nieuwe laag geloofwaardigheid aan toe: de stem kan klinken als iemand die u kent.

Hoe deepfakefraude eruit kan zien

CEO-fraude

Een medewerker krijgt een telefoontje of spraakbericht van iemand die klinkt als de directeur. De beller zegt dat hij in een vergadering zit, niet kan typen en dat er met spoed een factuur betaald moet worden. De situatie voelt betrouwbaar, omdat de stem vertrouwd is en het verzoek op een werkprioriteit lijkt.

Fraude gericht op de financiële afdeling

De aanvaller doet zich voor als leverancier of leidinggevende en vraagt om een wijziging van het bankrekeningnummer op een factuur. Zonder een duidelijk verificatieproces voert een medewerker die wijziging te goeder trouw door.

Noodgeval in de familie

Een ouder wordt gebeld door een stem die klinkt als het eigen kind. De beller zegt een ongeluk te hebben gehad, de telefoon kwijt te zijn, in de problemen te zitten of snel geld nodig te hebben. Het doel is paniek en geen verificatie.

Fraude via een videogesprek

Er zijn openbare gevallen bekend waarin medewerkers een videogesprek met nagemaakte leidinggevenden geloofden en grote bedragen overmaakten. Die aanvallen laten zien dat deepfakevideo geen theorie is. Het kan echte bedrijven raken.

Waarschuwingssignalen van een nagemaakte stem of video

Een deepfake hoeft niet perfect te zijn. Er zitten vaak kleine gebreken in. Het probleem is dat stress die gebreken moeilijker waarneembaar maakt.

Let op deze signalen:

• de beller bouwt sterke tijdsdruk op,
• de beller wil niet dat u het bij iemand anders verifieert,
• er wordt om een ongebruikelijke betaling of rekeningwijziging gevraagd,
• er wordt gezegd dat de zaak geheim of gevoelig is,
• de beller weigert over te stappen op een ander communicatiekanaal,
• antwoorden komen net iets vertraagd of onnatuurlijk,
• de stem klopt, maar de emoties passen er niet bij,
• video vertoont vreemde lip-, oog- of gezichtsbewegingen,
• de gesprekskwaliteit is opzettelijk slecht,
• de persoon ontwijkt onverwachte vragen.

Het belangrijkste signaal is niet technisch. Het is de combinatie van een vertrouwde identiteit en een dringend verzoek. Wanneer iemand die u kent heel snel iets belangrijks van u vraagt, vertraag dan.

Hoe verifieert u een verdacht telefoontje?

De beste verdediging tegen deepfakefraude is verificatie via een tweede kanaal.

Belt er een “directeur” die om een betaling vraagt, hang dan op en bel terug op een nummer dat u al kent. Bel het verdachte nummer niet terug. Stuurt een “collega” een bericht vanaf een onbekend nummer, verifieer dat dan via de bedrijfschat. Belt een “kind” in paniek, stel dan een vraag die alleen dat kind kan beantwoorden.

Organisaties doen er goed aan om ook veiligheidswoorden of verificatieregels in te voeren. Spoedbetalingen horen een tweede goedkeuring te vereisen. Wijzigingen van bankrekeningnummers van leveranciers horen geverifieerd te worden via het oorspronkelijk geregistreerde contact. Gevoelige verzoeken mogen nooit alleen op een spraakbericht steunen.

Wat organisaties zouden moeten doen

Organisaties moeten deepfakefraude niet langer als curiositeit behandelen. Het hoort bij de huidige beveiligingsrealiteit.

Praktische maatregelen:

1. Stel regels op voor spoedbetalingen. Geen enkele betaling zou alleen op basis van een telefoongesprek gedaan mogen worden.
2. Werk met dubbele goedkeuring bij hogere bedragen.
3. Verifieer wijzigingen van bankrekeningnummers van leveranciers via een onafhankelijk contact.
4. Train mensen op vishing- en deepfakescenario’s.
5. Beperk wat er openbaar wordt gedeeld aan gevoelige interne informatie.
6. Richt een eenvoudig proces in voor het melden van verdachte telefoontjes.
7. Leer medewerkers dat verifiëren geen wantrouwen is. Het is een professionele standaard.

Regels oefenen in plaats van ze opschrijven

Een verificatieregel die alleen in een handboek staat, houdt geen stand tegen een stem die klinkt als de directeur. Wat wél helpt, is de regel een keer onder druk gebruiken.

Daarom laten organisaties hun weerbaarheid tegen social engineering testen met gecontroleerde phishing-, vishing- en smishingsimulaties, gevolgd door een security awareness training die aansluit op wat er in die simulatie is gebeurd. Voor de e-mailkant gebruiken organisaties daarbij vaak een simulatieplatform zoals PhishGun. Wie een volledige aanvalsketen wil zien, van openbare informatie tot toegang, kiest voor red teaming; een dergelijke oefening laat zien of de verificatieregel ook standhoudt als er echt iets op het spel staat.

Zulke simulaties meten organisatorische beheersmaatregelen, niet personen. Resultaten worden uitsluitend geaggregeerd gerapporteerd; individuele medewerkers worden niet beoordeeld of geïdentificeerd. Het doel is een proces dat werkt, niet een lijst met namen.

Het Nederlandse kader

Er is geen wet die “deepfakefraude” apart regelt, maar het onderwerp raakt wel degelijk aan bestaande verplichtingen.

AVG artikel 32 lid 1 sub d is de enige Europese bepaling die periodiek testen met zoveel woorden noemt: “een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid” van de technische en organisatorische maatregelen, waar passend. Een verificatieproces rond spoedbetalingen en identiteitscontrole aan de telefoon is zo’n maatregel. Of die werkt, weet u pas als u hem test.

Loopt er via een vishinggesprek toch persoonsgegevens weg, dan geldt de meldplicht uit AVG artikel 33: een datalek melden bij de Autoriteit Persoonsgegevens binnen 72 uur, tenzij het niet waarschijnlijk is dat het lek een risico oplevert.

De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, treedt in werking op 15 augustus 2026 en raakt ongeveer 8.000 organisaties. De wet kent een registratieplicht via mijn.ncsc.nl, een zorgplicht, een meldplicht binnen 24 uur en bestuurlijke verantwoordelijkheid, inclusief training van bestuurders (artikel 24 lid 5). De zorgplicht schrijft geen pentest voor: de norm is een risicoanalyse en “passende en evenredige maatregelen”. Een vishingsimulatie is dus geen wettelijke verplichting, maar wel een van de manieren om aan te tonen dat u uw menselijke beheersmaatregelen daadwerkelijk toetst. De RDI houdt toezicht op digitale infrastructuur en het NCSC is het CSIRT. Artikel 7 zondert financiële entiteiten uit; voor hen geldt DORA, en daar is geavanceerd testen wél expliciet onderdeel van het regime. Voor leveranciers van de overheid speelt de BIO een vergelijkbare rol.

Wat u tegen deepfakefraude test, test u bovendien altijd met schriftelijke opdracht. Ongeautoriseerd binnendringen in een geautomatiseerd werk is computervredebreuk, strafbaar gesteld in artikel 138ab van het Wetboek van Strafrecht. Die schriftelijke toestemming, met scope en spelregels, is wat een geautoriseerde test rechtmatig maakt. Een register of vergunning voor pentesters bestaat in Nederland niet.

Wat gezinnen zouden moeten doen

Deepfakefraude met stemmen is niet alleen een bedrijfsrisico. Ook voor gezinnen neemt het risico toe.

Spreek eenvoudige regels af:

• een familiewachtwoord voor noodgevallen,
• de regel dat er nooit geld wordt overgemaakt onder druk,
• verificatie door terug te bellen,
• vragen die alleen een familielid kan beantwoorden,
• geen codes of persoonsgegevens delen via berichten.

Vooral ouderen zijn kwetsbaar voor telefoontjes die angst oproepen. Het is beter om deze scenario’s te bespreken vóór een incident, niet erna.

Conclusie

Deepfakefraude is gevaarlijk omdat het vertrouwen aanvalt. Stem en gezicht zijn dingen die we van nature geloven. AI kan dat vertrouwen misbruiken.

De basisregel is eenvoudig: bij geld, wachtwoorden, rekeningnummers en gevoelige gegevens is een stem niet genoeg. U hebt verificatie nodig.

Er is niets beschamends aan de zin: “Ik verifieer dit even en kom erop terug.” Die zin kan geld, een bedrijf en persoonsgegevens redden.

Gerelateerde diensten van Haxoris: social engineering en phishingsimulaties · security awareness training voor medewerkers