Nederlandse bedrijven en overheden krijgen deze maand een duidelijke waarschuwing: kunstmatige intelligentie maakt cyberaanvallen schaalbaar. Securityteams en financieel controllers moeten hun interne controles opnieuw inrichten. In heel Europa groeit de druk door nieuwe regels zoals de Europese AI-verordening en NIS2. De kern: generatieve modellen verlagen drempels voor fraude, phishing en misbruik van inloggegevens.
AI vergroot schaal van fraude
Criminelen gebruiken generatieve modellen zoals OpenAI’s GPT-4, Google Gemini, Meta’s Llama 3 en Mistral om foutloze e-mails, geloofwaardige scenario’s en overtuigende scripts te maken. Hierdoor worden phishingcampagnes persoonlijker, sneller en veel goedkoper. Ook het schrijven en aanpassen van kwaadaardige code wordt deels geautomatiseerd. Dat vergroot het aantal pogingen én de trefkans per poging.
Deepfakes en stemklonen maken CEO-fraude eenvoudiger. Met tools als ElevenLabs kunnen stemmen in minuten worden nagebootst, ook in het Nederlands. Een deepfake is een nagebootste video of audio die echt lijkt maar door een algoritme is gemaakt. Dit zet druk op financieel processen zoals spoedbetalingen en leverancierswijzigingen.
Aanvallers koppelen nu meerdere AI-tools aan elkaar tot geautomatiseerde bots die 24/7 spearfishing en social engineering doen. Ze scrapen LinkedIn en e-mailhandtekeningen, en genereren direct maatwerkberichten. Ook zien we prompts die beveiligingsfilters omzeilen, vooral bij open modellen zonder strenge veiligheidsremmen. Zo groeit het risico voor controllers, crediteurenadministratie en servicedesks.
AI maakt aanvallen sneller, goedkoper en overtuigender — precies waar traditionele controles het kwetsbaarst zijn.
Interne controles moeten mee
Veel organisaties vertrouwen op het vier-ogenprincipe en e-mailbevestigingen. Dat is niet genoeg tegen AI-gestuurde spoofing en deepfakes. Versterk de identiteit van de aanvrager met passkeys of multifactor-authenticatie, ook buiten de IT-omgeving. Leg vast dat betalings- of leverancierswijzigingen nooit alleen per e-mail worden doorgevoerd.
Maak out-of-band verificatie verplicht bij wijzigingen in IBAN, betaaladres of betaaltermijn. Gebruik altijd een terugbelnummer uit het eigen ERP of contract, niet uit de e-mail van de aanvrager. Stel een afkoelperiode in voor “spoedbetalingen”, zodat extra controle mogelijk is. Zo verklein je de kans dat druk en urgentie de controle ondermijnen.
Voeg continue monitoring toe bovenop functiescheiding. Analyseer betalingspatronen op afwijkingen, zoals ongebruikelijke bedragen, tijdstippen of nieuwe landen. Gebruik eenvoudige, uitlegbare regels of modellen en log beslissingen voor audit. Interne audit kan per kwartaal toetsen of deze detecties nog effectief zijn tegen AI-gestuurde varianten.
NIS2 en DORA verplichten basics
NIS2 verplicht essentiële en belangrijke entiteiten tot risicobeheer, incidentmelding en basismaatregelen. Denk aan MFA, versleuteling, patchmanagement en logging met bewaartermijnen. Nederland werkt dit uit in de Cyberbeveiligingswet, op het moment van schrijven nog in voorbereiding. Wie onder NIS2 valt, moet aantoonbaar governance en controles op orde hebben.
De DORA-regelgeving raakt financiële instellingen vanaf 17 januari 2025. Zij moeten ICT-risico’s beheren, crisisplannen oefenen en leveranciersrisico’s beheersen. Threat-led tests (zoals TIBER-EU) worden belangrijker, juist omdat AI-aanvallen sneller veranderen. Financiële controllers en CISO’s zullen samen moeten bepalen welke sleutelcontroles bedrijfskritisch zijn.
Ook organisaties buiten NIS2 en DORA krijgen eisen via de keten. Grote klanten en overheden vragen bewijs van basisbeveiliging en incidentrespons. Dit raakt ook MKB-leveranciers, scholen en zorginstellingen. Contractvoorwaarden sturen zo indirect dezelfde maatregelen af als de wet.
AI-verordening stuurt governance
De Europese AI-verordening (AI Act) werkt met risicoklassen en legt transparantieplichten op aan aanbieders van zogeheten general-purpose AI. Dit raakt modellen als GPT-4, Gemini, Llama 3 en Mistral, vooral rond documentatie en labelen van AI-inhoud. Het gebruik van deze systemen door aanvallers valt niet direct onder verbodsbepalingen. Organisaties blijven dus zelf verantwoordelijk voor weerbaarheid en controles.
Wie intern AI inzet voor detectie of monitoring moet letten op de AVG en de AI-verordening. Bij personeelbewaking of toegangscontrole kan sprake zijn van hoog risico en dus extra eisen. Zorg voor dataminimalisatie, heldere doelen en menselijk toezicht. Documenteer keuzes, train op representatieve data en voer waar nodig een DPIA uit.
Let op de Nederlandse context, zoals instemming of advies van de ondernemingsraad bij monitoring van werknemers. Bewaar logs niet langer dan nodig en pseudonimiseer waar mogelijk. Leg in beleid vast wanneer je AI gebruikt om fraude te signaleren en hoe je onterechte blokkeringsacties herstelt. Zo blijft de balans tussen veiligheid en privacy houdbaar.
Praktische stappen voor vandaag
Test je organisatie met AI-gestuurde phishing en deepfake-scenario’s, inclusief stem- en videoclips. Werk playbooks bij met afkoelperiodes, codewoorden en call-backs naar bekende nummers. Geef finance en inkoop een heldere stopknop voor verdachte betalingen. Meet respons en leer cyclisch bij.
Zet DMARC, SPF en DKIM op beleid “reject” om domeinmisbruik te blokkeren. Schakel passkeys in voor beheerdersaccounts en beperk lokale adminrechten. Patch browsers en plug-ins snel en blokkeer standaard macro’s en onveilige bijlagen. Monitor domeinregistraties die lijken op je merk en stel waarschuwingen in.
Train medewerkers op het herkennen van toon, kanaalwissels en onredelijke urgentie. Laat voorbeelden zien van Nederlandstalige deepfakes en stemklonen zodat het echt gaat leven. Maak melden laagdrempelig met één-knopsrapportage in e-mail en chat. Laat interne audit elk kwartaal toetsen of sleutelcontroles standhouden tegen AI-varianten.
