Gemeente krijgt ruim 75.000 euro terug voor CEO-fraude

27 juni werd bekend dat de gemeente Alkmaar was getroffen door CEO-fraude. Dit is een vorm van fraude waarbij criminelen online zich voordoen als een directeur van de organisatie, in dit geval de gemeente Alkmaar. Deze valse directeur laat een spoedbetaling verrichten met valse facturen via een medewerker van de financiële administratie. Het ging om drie valse facturen met een totaalbedrag van 236.243 euro.

Tot nu toe heeft de BNG bank tijdens hun onderzoek 75.287 weten te traceren en ook daadwerkelijk aan de gemeente terugbetaald. De gemeente blijft de bank aansporen om door te gaan totdat het restant van 160.955 volledig is teruggestort.

Geraffineerd

Uit de evaluatie blijkt dat de fraudeur zeer gericht en zorgvuldig te werk ging. De fraudeur onderzocht welke personen werkzaam waren bij de financiële administratie en de persoonlijke mails die naar hen werden gestuurd kwamen authentiek over. 

Domeinnamen werden gewijzigd in @alkmaar.nl, er was een plausibele uitleg om wat voor betaling het ging en waarom deze met spoed betaald moest worden. Een voor de gemeente bekende incassobureau werd meegenomen in de correspondentie om druk uit te oefenen. 

Ook de bijgevoegde facturen waren zorgvuldig opgesteld. De facturen leken “ogenschijnlijk echt”, zo schrijft de gemeente in het rapport.

Onderzoek

Uit hetzelfde onderzoek is gebleken dat er geen signalen zijn geconstateerd dat er sprake was van interne fraude en of medewerkers die bewust meewerkten aan de fraude. Wel hadden de medewerkers moeten luisteren naar hun onderbuikgevoel. Er was twijfel en verbazing over het binnen korte tijd ontvangen van meerdere handmatige betaalverzoeken via e-mail en meerdere IBAN-rekeningnummers wijzigingen van één (buitenlandse) leverancier. 

Daarbij was er geen sprake van goedkeuring via de autorisatie workflow. In dit geval zijn er één of meerdere medewerkers die de betaling controleren en moeten goedkeuren. Als laatste werd het e-mailadres van de directeur onvoldoende gecontroleerd op echtheid. Zodoende concludeert de gemeente dat er sprake was van onvoldoende awareness over het bestaan van dit soort fraude.

Maatregelen

Medewerkers krijgen trainingen om dit soort fraude te herkennen, de mailservers zijn voorzien van betere anti-spoofinstellingen en er komen meerdere autorisaties alvorens inkoopfacturen worden betaald. Naar aanleiding van dit incident zal de gemeente tevens met een verbeterplan komen voor online fraudepreventie.