deepfake beveiliging staat bij de meeste MKB-directeuren nog niet op de agenda, terwijl de techniek allang geen dure productie meer vraagt. Een aanvaller kloont jouw stem met een paar seconden audio van een vergadering, of laat je gezicht praten in een videogesprek van tien minuten. De vraag is niet of dat lukt. De vraag is of jouw proces een betaalopdracht tegenhoudt die van een bekend gezicht en een bekende stem komt.
Dit artikel laat zien wat er in 2026 feitelijk veranderd is, welke drie routes aanvallers gebruiken en welke maatregelen je zonder IT-afdeling kunt invoeren.
#Wat er feitelijk veranderd is
In april 2026 publiceerde het Amerikaanse Internet Crime Complaint Center (IC3) van de FBI zijn jaarrapport over 2025. Voor het eerst in de 25-jarige geschiedenis van het meldpunt staat er een aparte sectie over AI als misdaadinstrument. De cijfers erin zijn het waard om te onthouden.
Die 893 miljoen is het interessantste getal. Het is een ondergrens, want een slachtoffer dat een synthetische video niet doorziet, meldt geen AI-fraude. Hij meldt oplichting. Het werkelijke aandeel van AI in fraude ligt daarmee hoger dan het rapport laat zien.
Het bekendste Europese geval blijft het Britse ingenieursbureau Arup. In februari 2024 maakte een medewerker van het kantoor in Hongkong 200 miljoen Hongkongse dollar over, omgerekend ongeveer 25 miljoen dollar, na een videogesprek waarin de CFO en meerdere collega’s zaten. Alle deelnemers op één na waren gegenereerd. Arup bevestigde het incident zelf in mei 2024. Wat toen een miljoenenproductie leek, is in 2026 gereedschap dat iedereen kan gebruiken.
#Deepfake beveiliging: de drie aanvalsroutes
Er zijn drie manieren waarop dit bij een MKB-bedrijf binnenkomt. Ze verschillen in techniek en in de maatregel die je ertegen zet.
| Route | Wat de aanvaller doet | Waar het misgaat |
|---|---|---|
| Nep-videogesprek | Deepfake van de directeur of CFO in een call, meestal met twee of drie nepdeelnemers erbij | De medewerker krijgt gezag én haast tegelijk te zien |
| Stemklonen aan de telefoon | Een paar seconden audio is genoeg om een stem na te bootsen, bijvoorbeeld via een voicemail of een LinkedIn-video | De helpdesk of de boekhouding verifieert de stem in plaats van het kanaal |
| AI-phishing op maat | Berichten zonder taalfouten, met de juiste namen, leveranciers en bedragen uit eerdere correspondentie | De mail ziet er beter uit dan de echte mail van een collega |
De derde route is de meest voorkomende en de minst opvallende. AI haalt de taalfouten en de rare zinsconstructies uit phishing, en gebruikt daarna wat er al in een mailthread staat. Een leverancier die je al kent, met een nieuw rekeningnummer en een kloppende referentie, is voor de administratie moeilijk te weigeren.
#Waarom het MKB hier extra kwetsbaar is
Grote organisaties hebben functiescheiding: de een vraagt een betaling aan, de ander voert hem uit, en een derde controleert. Het MKB heeft vaak één iemand die alles mag. Dat is precies het profiel waar deze aanval op mikt.
Vier kenmerken maken een gemiddeld MKB-bedrijf aantrekkelijk.
- De directeur is de autoriteit. Een instructie die van hem lijkt te komen, wordt zelden bevraagd.
- Er is geen tweede paar ogen. Bij een bedrijf van twintig mensen doet dezelfde persoon de inkoop en de betaling.
- Informatie staat openbaar. Organogrammen, functietitels, vakantiefoto’s en projectnamen op LinkedIn en de website leveren het script voor een overtuigend gesprek.
- De bedragen zijn overzichtelijk. Een aanvaller hoeft geen miljoen te pakken. Een openstaande factuur van een leverancier, ineens verdubbeld, is genoeg.
Dat laatste punt wordt onderschat. Medewerkers die erin trappen, melden het vaak laat uit schaamte. Hoe later de melding, hoe kleiner de kans dat een bank een overboeking nog kan terugdraaien.
#Vijf maatregelen voor deepfake beveiliging
Je hoeft geen securityprogramma te kopen om dit risico fors te verkleinen. Vijf afspraken dekken het grootste deel van het gevaar.
- Terugbellen op een bekend nummer. Elke betaalopdracht die per mail, app of videocall binnenkomt, wordt telefonisch bevestigd op een nummer dat je zelf hebt, niet op het nummer uit het bericht.
- Een codewoord voor spoed. Spoed is het signaal waarop mensen afwijken van de procedure. Spreek met elkaar af dat een spoedverzoek zonder codewoord automatisch een dag wacht.
- Twee mensen op elke betaling. Wijzigingen in rekeningnummers gaan altijd langs twee personen, ook als de directeur belt. Zeker als de directeur belt.
- Een vaste dag voor nieuwe begunstigden. Nieuwe rekeningnummers worden alleen op één vast moment per week verwerkt. Dat haalt de haast uit de aanval.
- Melden zonder straf. Leg vast dat wie een poging meldt geen verwijt krijgt. Dat is de enige manier om te horen wat er werkelijk gebeurt.
#Conclusie
deepfake beveiliging is in 2026 een procesvraag geworden. De techniek is te goedkoop en te goed om op herkenning te vertrouwen, en de aanval komt binnen via een kanaal waar je mensen gewend zijn te vertrouwen. Zet daarom de maatregelen in het proces: terugbellen op een bekend nummer, een codewoord voor spoed, twee mensen op elke betaling en een meldcultuur zonder verwijt. Dat is niet duur en het werkt ook als de aanvaller klopt als een collega.
Wil je weten waar jouw organisatie nu kwetsbaar is? Plan een risico-scan en we lopen de routes met je door.