Nederland – Een sollicitant die tijdens een videogesprek overtuigend overkomt, is niet altijd wie hij zegt dat hij is. Cybercriminelen gebruiken deepfakevideo’s, nagebootste stemmen en gestolen persoonsgegevens om zich voor te doen als medewerkers van bedrijven, freelancers of IT-specialisten. Voor Nederlandse bedrijven betekent dit dat digitale beveiliging verder moet gaan dan alleen sterke wachtwoorden.
Hoe werkt een nep-medewerker?
Bij deze vorm van fraude probeert een aanvaller binnen te komen via een normaal bedrijfsproces. Denk aan een sollicitatie op afstand, een externe IT-opdracht of contact met een recruiter. Met AI kan een crimineel tijdens een videogesprek een gezicht aanpassen, een stem nabootsen of documenten maken die betrouwbaar lijken.
Zodra iemand is aangenomen of als externe partij wordt toegelaten, kan diegene om toegang vragen tot e-mailaccounts, cloudomgevingen, broncode of interne systemen. Daarmee verschuift de aanval van buiten naar binnen.
Dat dit geen theoretisch risico is, blijkt uit internationale incidenten. Volgens Insurance Business gebruikten Noord-Koreaanse IT-medewerkers gestolen Amerikaanse identiteiten om banen te krijgen bij meer dan honderd bedrijven.
Ook in Nederland worden online identiteiten misbruikt
Nederlandse bedrijven moeten dus alert zijn. De Nederlandse politie hield eind 2025 een man aan die met deepfaketechnieken identiteitscontroles wist te omzeilen. Hij zou op naam van anderen minstens 46 bankrekeningen hebben geopend. Hoewel hier geen sprake was van iemand die zich voordeed als medewerker, laat de zaak wel zien hoe gemanipuleerde gezichten kunnen worden ingezet voor identiteitsfraude.
Ook valse documenten zijn gemakkelijk verkrijgbaar. In 2025 haalden de Nederlandse politie en de FBI VerifTools offline, een platform voor vervalste identiteitsbewijzen.
Signalen die extra controle verdienen
Een deepfake is niet altijd zichtbaar aan vreemde ogen, haperende lippen of onnatuurlijk beeld. Kijk daarom vooral naar het complete gedrag van een kandidaat. Let op gegevens op identiteitsdocumenten die niet overeenkomen, afwijkende e-mailadressen of telefoonnummers en kandidaten die officiële verificatie proberen te vermijden.
Ook haast is een waarschuwingssignaal. Iemand die direct beheerdersrechten, of gevoelige bestanden nodig zegt te hebben, hoort niet automatisch zijn zin te krijgen. Hetzelfde geldt voor kandidaten die ontwijkend reageren op onverwachte vragen.
Zo verklein je het risico
Combineer technische beveiliging met goede identiteitscontrole. Verifieer nieuwe medewerkers en leveranciers via officiële kanalen en controleer belangrijke gegevens via een tweede, onafhankelijke methode. Geef accounts alleen de rechten die iemand nodig heeft en geef pas meer wanneer dat noodzakelijk is.
Gebruik daarnaast multifactorauthenticatie, beveilig de apparatuur van het bedrijf en een VPN wanneer medewerkers op afstand werken. Een goede VPN versleutelt je verbinding, waardoor bedrijfsgegevens bijvoorbeeld beter beschermd zijn op openbare wifi-netwerken. De beste VPN-apps bieden bovendien extra functies ter bescherming tegen phishing, kwaadwillende websites en malware. Dat is vooral relevant wanneer een aanvaller zich voordoet als collega of IT-medewerker en iemand probeert te verleiden op een link te klikken of gegevens in te voeren. Een VPN voorkomt de deepfake zelf niet, maar kan verschillende vervolgstappen van zo’n aanval bemoeilijken.
Leg tot slot vast wie toegang mag aanvragen en wie zo’n aanvraag controleert. Nu gezichten, stemmen en documenten steeds overtuigender kunnen worden nagemaakt, is alleen vertrouwen niet meer genoeg.
