Deepfakes als Bedrijfsrisico: Herkennen en Beschermen

In januari 2024 verloor een multinational in Hong Kong 25 miljoen dollar nadat medewerkers werden misleid door een deepfake-videocall waarin de CFO opdracht gaf tot overboekingen. Het was geen geIsoleerd incident. Deepfakes zijn geevolueerd van een curiositeit naar een serieus bedrijfsrisico. En Nederlandse bedrijven zijn niet immuun.

Wat zijn deepfakes en waarom zijn ze gevaarlijk voor bedrijven?

Deepfakes zijn door AI gegenereerde of gemanipuleerde media - video, audio of afbeeldingen - die zo realistisch zijn dat ze met het blote oog moeilijk te onderscheiden zijn van echt materiaal. De technologie is in de afgelopen twee jaar exponentieel verbeterd en toegankelijker geworden.

De evolutie van deepfakes

• 2020: Duidelijk herkenbaar, vereiste technische expertise en veel rekenkracht
• 2022: Realistisch genoeg voor korte clips, beschikbaar als online dienst
• 2024: Real-time deepfake video en audio, beschikbaar voor iedereen met een laptop
• 2026: Vrijwel niet meer te onderscheiden van echt, beschikbaar als mobiele app

De drie grote bedrijfsrisicos

1. CEO Fraud en Business Email Compromise (BEC)

De modernste vorm van CEO fraud maakt gebruik van deepfake audio of video:

• Deepfake voicemail: Een nagemaakt audiobericht van de CEO die opdracht geeft tot een spoedoverboeking
• Deepfake videocall: Een nepvideogesprek waarin een leidinggevende autorisatie geeft
• Deepfake voicecall: Een telefoongesprek met de stem van een directielid dat afwijkt van standaardprocedures

Schadecijfers: De FBI rapporteerde in 2025 dat BEC-fraude met deepfake-componenten wereldwijd voor meer dan 2,7 miljard dollar aan schade zorgde. In Nederland werden in 2025 minimaal 340 gevallen geregistreerd bij de politie, met een gemiddelde schade van 180.000 euro.

2. Identiteitsfraude en onboarding

Deepfakes worden ingezet om identiteitsverificatie te omzeilen:

• KYC-fraude: Deepfake video-identificatie om bankrekeningen te openen
• HR-fraude: Fictieve kandidaten die via deepfake-videosollicitaties toegang proberen te krijgen tot bedrijfssystemen
• Leveranciersfraude: Nabootsing van leveranciers om betalingsgegevens te wijzigen

3. Reputatieschade en marktmanipulatie

• Nepverklaringen: Deepfake video van een CEO die schokkende uitspraken doet
• Product misinformatie: Gemanipuleerde video van producttests of -falen
• Aandelenmanipulatie: Deepfake nieuwsberichten die de beurskoers beinvloeden
• Concurrentiesabotage: Deepfake reviews of testimonials

Hoe herken je deepfakes? Praktische detectiemethoden

Visuele indicatoren bij video-deepfakes

Let op de volgende kenmerken die deepfakes kunnen verraden:

Gezicht en huid:

• Onnatuurlijke huidtextuur, te glad of juist te gedetailleerd
• Inconsistente belichting op het gezicht versus de achtergrond
• Vreemde overgangen bij de haargrens en oren
• Asymmetrie in gezichtskenmerken die er niet hoort te zijn

Ogen en mond:

• Onnatuurlijk knipperpatroon (te weinig of te regelmatig)
• Lipsynchronisatie die net niet klopt
• Ogen die niet goed focussen op het juiste punt
• Tanden die er onnatuurlijk uitzien

Omgeving en context:

• Inconsistenties in reflecties (bril, achtergrond)
• Achtergrond die wazig is op onverwachte plekken
• Beeldkwaliteit die verschilt tussen gezicht en rest

Audio-indicatoren bij voice-deepfakes

Stemkenmerken:

• Onnatuurlijke pauzes of ademhaling
• Metalige of robotachtige ondertoon
• Inconsistente achtergrondgeluiden
• Emotie die niet past bij de inhoud

Taalgebruik:

• Woordkeuze die afwijkt van het normale taalgebruik van de persoon
• Uitdrukkingen die de echte persoon nooit zou gebruiken
• Te perfecte zinnen zonder eh, uhm of andere vulstoffen

Technische detectiemethoden

Naast menselijke observatie zijn er technische tools beschikbaar:

Detectiesoftware:

• Microsoft Video Authenticator: Analyseert video op manipulatiekenmerken
• Sensity AI: Gespecialiseerd platform voor deepfake-detectie in zakelijke omgevingen
• Intel FakeCatcher: Real-time deepfake-detectie via bloedstroomanalyse
• Deepware Scanner: Open-source tool voor het scannen van videomateriaal

Metadata-analyse:

• Controleer EXIF-data van afbeeldingen en video
• Analyseer compressie-artefacten die wijzen op bewerking
• Verifieer de herkomst via C2PA (Coalition for Content Provenance and Authenticity) standaard

Uw organisatie beschermen: een vijfstappenplan

Stap 1: Bewustwording creeren

De belangrijkste bescherming is een geInformeerd team.

Training voor alle medewerkers:

• Wat zijn deepfakes en hoe worden ze ingezet bij fraude?
• Welke signalen wijzen op een deepfake?
• Wat moet je doen als je een deepfake vermoedt?

Extra training voor risicogroepen:

• Financiele medewerkers: herkenning van deepfake CEO-fraud
• HR-medewerkers: herkenning van deepfake sollicitanten
• Klantenservice: herkenning van deepfake klantidentificatie
• Management: bewustwording van reputatierisicos

Stap 2: Verificatieprocedures aanscherpen

Voer het principe van multi-channel verificatie in:

Voor financiele transacties:

• Elke betaling boven een drempelbedrag vereist verificatie via een tweede kanaal
• Geen overboekingen op basis van alleen een telefoongesprek of videocall
• Callback-procedure: altijd terugbellen op een bekend nummer (niet het nummer van de inkomende call)
• Vier-ogenprincipe voor transacties boven 10.000 euro

Voor identiteitsverificatie:

• Combineer video-identificatie met andere verificatiemethoden (document + liveness check)
• Gebruik gecertificeerde eID-oplossingen die deepfake-detectie integreren
• Stel challenge-response vragen die vooraf niet te voorspellen zijn

Voor communicatie met externen:

• Verifieer wijzigingen in betalingsgegevens altijd telefonisch via een bekend nummer
• Wees extra alert bij verzoeken die afwijken van standaardprocedures
• Gebruik een codewoord of verificatiecode voor gevoelige communicatie

Stap 3: Technische maatregelen implementeren

E-mail beveiliging:

• DMARC, DKIM en SPF configureren om e-mail spoofing te voorkomen
• E-mail authenticatie voor alle uitgaande communicatie
• Waarschuwing bij externe e-mails die intern lijken

Communicatieplatforms:

• Gebruik versleutelde, geauthenticeerde kanalen voor gevoelige communicatie
• Implementeer end-to-end geVerifieerde videocalls voor bestuursbeslissingen
• Overweeg digitale handtekeningen voor officiele communicatie

Monitoring:

• Social media monitoring op nepaccounts en gemanipuleerde content
• Brand monitoring voor deepfake-video met uw merk of bestuurders
• Dark web monitoring voor deepfake-materiaal gericht op uw organisatie

Stap 4: Incidentresponsplan opstellen

Maak een specifiek protocol voor deepfake-incidenten:

Bij vermoeden van deepfake-fraude:

1. Stop de transactie of het proces onmiddellijk
2. Verifieer de identiteit van de betrokken persoon via een bewezen kanaal
3. Documenteer het incident (bewaar het deepfake-materiaal)
4. Meld het intern aan de security officer of directie
5. Bij financiele schade: direct contact met de bank voor mogelijke terugboeking

Bij deepfake-reputatieschade:

1. Verifieer of het materiaal daadwerkelijk nep is (laat het analyseren)
2. Activeer het crisiscommuncatieteam
3. Publiceer een duidelijke verklaring op eigen kanalen
4. Neem contact op met het platform waar de deepfake is geplaatst voor verwijdering
5. Overweeg juridische stappen (civielrechtelijk en/of strafrechtelijk)

Stap 5: Juridische voorbereiding

• Vastleggen van bewijsmateriaal: Sla deepfakes forensisch op met timestamps en metadata
• Aangifte: Deepfake-fraude is strafbaar onder meerdere artikelen (oplichting, valsheid in geschrifte, computervredebreuk)
• Civiele aansprakelijkheid: Overweeg een civiele procedure voor schade
• Verzekering: Controleer of uw cyberverzekering deepfake-schade dekt

De toekomst: wat staat ons te wachten?

Toenemende dreiging

De kwaliteit van deepfakes verbetert sneller dan de detectie. Verwacht:

• Real-time deepfakes in videocalls worden standaard beschikbaar
• Voice cloning met slechts 3 seconden spraakmateriaal
• Deepfake-as-a-Service platformen die de technologie democratiseren
• Gecombineerde aanvallen die deepfake video, audio en tekst integreren

Tegenbewegingen

Gelukkig worden ook de verdedigingsmiddelen sterker:

• Content authenticity: C2PA standaard voor herkomstverificatie van media
• AI-watermerking: Onzichtbare watermerken in AI-gegenereerde content
• Blockchain-verificatie: Onveranderbare registratie van originele media
• Wetgeving: De EU AI Act classificeert deepfakes specifiek en stelt eisen aan transparantie

Praktische checklist voor MKB-bedrijven

Direct implementeren (deze week)

• Informeer het managementteam over deepfake-risicos
• Stel een verificatieprocedure in voor financiele transacties boven 5.000 euro
• Configureer DMARC, DKIM en SPF voor e-mail
• Voeg waarschuwingsbanners toe aan externe e-mails

Binnen een maand

• Organiseer een bewustwordingssessie voor alle medewerkers
• Stel een incidentresponsplan op voor deepfake-fraude
• Implementeer callback-procedures voor betalingswijzigingen
• Review uw cyberverzekeringspolis op deepfake-dekking

Binnen een kwartaal

• Implementeer deepfake-detectietools voor identiteitsverificatie
• Voer social media en brand monitoring in
• Train risicogroepen (finance, HR, klantenservice) specifiek
• Test het incidentresponsplan met een simulatie

Conclusie

Deepfakes zijn geen toekomstscenario maar een actueel bedrijfsrisico. De technologie is toegankelijk, de schade kan enorm zijn, en de meeste organisaties zijn onvoldoende voorbereid.

Het goede nieuws: bescherming is mogelijk. Met een combinatie van bewustwording, procedures, technologie en voorbereiding kunt u het risico aanzienlijk verkleinen. De sleutel is om nu te beginnen - niet te wachten tot u slachtoffer wordt.

Begin met het eenvoudigste en meest impactvolle: verifieer altijd via een tweede kanaal. Geen enkele overboeking op basis van een telefoontje of videocall, hoe overtuigend het ook klinkt. Die ene regel kan uw organisatie miljoenen besparen.

Wilt u uw organisatie beschermen tegen deepfake-fraude? Neem contact op met CleverTech voor een risicoanalyse en een op maat gemaakt beschermingsplan.