Je baas heeft je niet gemaild. Een AI getraind op zijn laatste drie berichten deed het.

Het klassieke bewijs van een nep-baas-email was slechte grammatica en een vreemdachtig groet. Dat bewijs is weg. Generatieve tools verwerken nu een gestolen e-mailthread en imiteren de exacte cadans, interpunctie en ondertekening van een collega, daarom blijft business email compromise bedrijven leegzuigen — de FBI's Internet Crime Complaint Center registreerde $2,9 miljard aan gerapporteerde BEC-verliezen in alleen 2023. De enige betrouwbare verdediging die overblijft is het gesprek naar een ander kanaal verplaatsen voordat je handelt.

Waarom kan ik een email niet vertrouwen die precies als mijn manager klinkt?

Omdat 'klinkt als hem' nu het gemakkelijkste onderdeel is om te vervalsen. BEC vertrouwde vroeger op een gekraakte of nepachtig adres gecombineerd met onhandige tekst; de vreemde formulering was het verraad. Voed een groot taalmodel drie echte antwoorden van iemand in en het zal hun ritme afstemmen — de manier waarop ze met 'Hey' beginnen, interpunctie overslaan wanneer haast, afmelden met alleen een voorletter. Aanvallers krijgen die antwoorden uit een gekrompen mailbox, een doorgestuurde thread, of een reply-all-chain die het bedrijf uit is gelekt.

Het 2024 Data Breach Investigations Report van Verizon constateerde dat het menselijk element betrokken was bij ongeveer 68% van datalekken, met social engineering en pretexting als dominant patroon. Stijl is niet langer bewijs. De persoon die schrijft als jouw CFO kan een model zijn dat op vijftien minuten van jouw CFO's outbox is getraind.

Hoe ziet één van deze verbeterde vervalsingen er eigenlijk uit?

Het ziet er uit als een kort, aannemelijk, iets urgent verzoek dat in een al bestaand gesprek past. De klassieke zet: een antwoord in een bestaande thread over een leveranciersbetaling geplaatst, met nieuwe overboekingsinstructies en een regel als 'bank heeft het oude account gemarkeerd, gebruik deze'. Geen typefouten, juiste projectnamen, de echte spraakgewoonten van je baas.

De technische vangst is dat de weergavenaam perfect kan zijn terwijl het verzenddomein één karakter afwijkt — @company-invoices.com in plaats van @company.com — of Reply-To stilletjes ergens anders naar verwijst. Verificatie helpt hier: een bericht dat SPF, DKIM of DMARC-afstemming niet doorstaat is verdacht, hoe menselijk het ook klinkt. AI-mailtools, inclusief de oplichterij- en factuurfraude-vlaggen ingebouwd in AI email met oplichterij-vlaggen, controleren die headers automatisch, want een persoon die vluchtig op een telefoon scant zal dit nooit doen.

Hoe verifieer ik eigenlijk een verzoek waarop ik niet op zijn gezicht kan vertrouwen?

Wissel kanaal en bevestig via één die je al kent, niet via degene die de email je gaf. Als de email om geld of inloggegevens vraagt, bel de persoon op een nummer uit je contacten of bedrijfsmap — nooit het nummer in de ondertekening. Loop naar hun bureau. Stuur ze een bericht via het interne chattool. De hele oplichting hangt af van jouw blijven binnen de email, waar de aanvaller beide zijden controleert.

Maak het een regel, geen oordeel. Iedere betalingswijziging, iedere overmaking, ieder nieuw bankgegeven krijgt bevestiging via een ander kanaal, punt uit — de IC3 raadt consistent precies deze verbale verificatie voor BEC aan. Regels overleven een drukke dinsdag namiddag; instincten niet. En stop met het behandelen van een overtuigende schrijfstijl als bewijs van iets. Het ene wat een model dat op gestolen antwoorden is getraind niet kan vervalsen is je baas die de telefoon opneemt en zegt dat hij het nooit heeft verstuurd.