Een telefoontje van je eigen directeur, een appje van je huisadvocaat, een paar e-mails die kloppen tot in het kleinste detail. Precies zo werd de Italiaanse bank Fideuram in februari 2026 om 36 miljoen euro lichter. Geen gehackte server, geen phishinglink waar iemand per ongeluk op klikte. Alleen een nagemaakte stem en een vervalst WhatsApp-bericht. Voor Nederlandse ondernemers is dat geen ver-weg verhaal: dezelfde trucs duiken ook hier op, en de technologie om ze uit te voeren is inmiddels voor iedereen beschikbaar.
Hoe de fraude bij Fideuram precies werkte
Fideuram is de private-bankingdochter van de Italiaanse bankengigant Intesa Sanpaolo. Volgens IT-vakmedia (dutchitchannel.nl, 28 september 2026) kreeg voorzitter Paolo Molesini een WhatsApp-bericht dat leek te komen van Carlo Messina, bestuurder van moederbedrijf Intesa. De afzender vroeg hem om overboekingen via Fideuram te laten lopen, omdat Intesa dat zogenaamd zelf niet kon regelen.
Daarna volgde een telefoongesprek waarin de stem van advocaat Paolo Nastasi van kantoor A&O Shearman Italia met AI was nagemaakt. Nastasi had in werkelijkheid helemaal niets met de zaak te maken. Om het verhaal compleet te maken kreeg Molesini vervolgens e-mails die leken te komen van dat advocatenkantoor, met daarin de buitenlandse rekeningnummers waarnaar het geld moest. Op zijn instructie liet de financieel directeur zo'n 95 miljoen euro overmaken, vooral naar rekeningen in China en Hongkong. Een Chinese bank blokkeerde 40 miljoen euro, een Portugese bank hield 13 miljoen euro tegen. 36 miljoen euro is tot nu toe spoorloos.
Molesini trad op 12 maart 2026 af als voorzitter van Fideuram. Volgens de bank had dat niets met de zaak te maken, die destijds nog niet publiek bekend was, en hij is nooit als verdachte aangemerkt. Intesa Sanpaolo benadrukte bovendien dat de eigen IT-systemen niet zijn gehackt. Dat is precies het punt: er was geen systeem te kraken, alleen een paar mensen die deden alsof ze iemand anders waren.
Dit speelt niet alleen bij grote banken
Je hoeft geen multinational te zijn om doelwit te worden. Rechtbank Amsterdam velde op 17 juni 2026 vonnis in een zaak waarin een 34-jarige man met deepfake-technologie 47 bankrekeningen op naam van anderen had geopend. Hij gebruikte gemanipuleerde foto's met biometrische kenmerken, zodat het identiteitsverificatiesysteem van de bank ze als echt beoordeelde. Met die vals geopende rekeningen werden weer andere strafbare feiten mogelijk, zoals bankhelpdeskfraude. De rechtbank legde hem 30 maanden cel op, waarvan 6 maanden voorwaardelijk.
Het patroon is steeds hetzelfde: niet de techniek van je bedrijf wordt gekraakt, maar het vertrouwen van een medewerker. Dat maakt het ook een onderwerp dat verder gaat dan IT-beleid alleen. Zoals we eerder schreven over de nieuwe cybersecuritywetgeving voor bedrijven, draait digitale weerbaarheid tegenwoordig net zo hard om processen en mensen als om techniek.
Waarom dit nu zo'n groot risico is
De aanval op Fideuram leunde niet op een geavanceerde hack, maar op drie gewone kanalen: WhatsApp, een telefoontje en e-mail. Precies de kanalen waar je als ondernemer dagelijks zaken over regelt. Dat is ook meteen het ongemakkelijke van deze fraudevorm: dezelfde app die je zelf zakelijk inzet voor klantcontact via WhatsApp Business, kan door criminelen worden misbruikt om zich voor te doen als iemand uit jouw organisatie of jouw netwerk.
Beveiligingsexperts wezen al in 2024 op dezelfde kwetsbaarheid, naar aanleiding van een eerdere deepfake-fraude waarbij een multinational 24 miljoen euro verloor nadat een medewerker tijdens een videobelletje met een nagemaakte financieel directeur instemde met een overboeking (securitymanagement.nl, 7 februari 2024). Twee jaar later is de techniek goedkoper en toegankelijker, maar het advies van toen staat nog steeds: scherp je interne controle aan voordat het geld al weg is, niet erna.
Wat de zaken bij Fideuram en in Amsterdam gemeen hebben, is dat de oplichters niet één keer maar meerdere keren bevestiging gaven: eerst een bericht, dan een stem, dan een document. Elke stap op zich klonk geloofwaardig, en juist die opeenstapeling van "bewijs" zorgde ervoor dat niemand nog de moeite nam om het via een ander kanaal te checken. Voor een ondernemer met een kleiner team is dat misschien wel het grootste risico: hoe minder mensen er bij een beslissing betrokken zijn, hoe makkelijker zo'n opeenstapeling van nepbevestigingen werkt.
Dit is wat je morgen anders doet
Een paar maatregelen die je zonder grote investering kunt invoeren:
- Vier-ogen-principe bij grote overboekingen. Geen enkele overboeking boven een zelf vastgesteld bedrag gaat eruit op basis van één app, telefoontje of e-mail, hoe overtuigend ook.
- Terugbellen via een nummer dat je zelf al had, nooit via een nummer uit het verdachte bericht. Bij Fideuram werkte de fraude precies omdat niemand de "advocaat" op zijn eigen, bekende kantoornummer terugbelde.
- Een vast codewoord of verificatievraag met je belangrijkste zakelijke contacten en leveranciers. Simpel, maar een stem kun je klonen, een afgesproken codewoord niet.
- Leg vast wie welke rol heeft in een betaalproces, zodat een gekloonde stem van "de directeur" nooit in zijn eentje een overboeking kan forceren. Een digitale handtekening met verificatie bij grote betalingen voegt een stap toe die een deepfake niet zomaar overslaat.
- Bespreek dit gewoon een keer op de vrijdagborrel of in het werkoverleg. De zaak bij Fideuram werkte niet omdat mensen dom waren, maar omdat niemand er rekening mee hield dat een stem die je kent, toch niet van die persoon kan zijn.
Je hebt geen beveiligingsafdeling nodig om dit soort fraude buiten de deur te houden. Je hebt alleen een afspraak nodig die niemand overslaat, ook niet als "de directeur" zelf aan de lijn lijkt te hangen.