Een gekloonde stem kan van een bankbetaling een miljoenenfout maken

In het kort

Volgens Reuters is bij Fideuram, de privatebankingdochter van Intesa Sanpaolo, in februari €95 miljoen verdwenen nadat fraudeurs zich met berichten en een gekloonde stem als bestuurders voordeden. Ruim de helft zou zijn teruggehaald, waardoor nog €36 miljoen ontbreekt; de bank heeft deze details niet openbaar bevestigd. De zaak laat vooral zien dat een geldige inlog weinig helpt als een bevoegde medewerker een vals bevel zelf uitvoert. Voor banken en andere bedrijven wordt een onafhankelijke controle van grote betalingen daarom belangrijker dan herkenning van een stem of profielfoto.

Het opvallendste aan de gemelde fraude is niet dat kunstmatige intelligentie een stem kan nabootsen. Dat kan inmiddels met weinig audiomateriaal en goedkope software. Belangrijker is dat een aanvaller kennelijk geen banksysteem hoefde open te breken. Volgens Reuters zouden medewerkers zijn overtuigd om internationale betalingen uit te voeren nadat berichten en een stem klonken alsof ze van de top kwamen.

Dat onderscheid bepaalt wie de rekening kan voorkomen. Extra beveiliging op een wachtwoord helpt tegen een gestolen account, maar niet vanzelf tegen een medewerker die zelf inlogt en denkt dat hij een echte opdracht uitvoert. De verdediging moet dus niet alleen vragen wie er betaalt, maar ook of de opdracht klopt, of het bedrag past en of een tweede persoon de bestemming onafhankelijk heeft gecontroleerd.

Een nepstem omzeilt vooral vertrouwen

Een gekloonde stem werkt niet omdat audio magisch overtuigend is. Zij werkt omdat de aanvaller aansluit op een bestaande gezagslijn. Een dringend verzoek van een bekende bestuurder, een vertrouwelijk project en de suggestie dat tijdsdruk geheimhouding vereist, kunnen samen genoeg zijn om normale twijfel uit te schakelen. De technologie maakt het verhaal geloofwaardiger, maar de betaling loopt nog steeds door een menselijke procedure.

Amerikaanse veiligheidsdiensten NSA, FBI en CISA waarschuwen dat synthetische media worden gebruikt om bestuurders en financiële functionarissen na te bootsen. Hun advies draait niet alleen om software die een deepfake probeert te herkennen. Organisaties moeten ook vooraf afspreken hoe zij de identiteit achter een gevoelige opdracht controleren, medewerkers trainen en een reactie oefenen voordat er geld is verdwenen.

Daar zit een praktisch voordeel. Een terugbelcheck naar een al bekend nummer blijft bruikbaar, ook als de nepstem technisch beter wordt. Hetzelfde geldt voor een tweede goedkeurder die niet in hetzelfde chatgesprek zit en zelf de begunstigde, het land en het bedrag controleert. Zo wordt de controle onafhankelijk van precies datgene wat de aanvaller heeft vervalst.

De rekening is kleiner dan de bank maar niet onbelangrijk

De gemelde bedragen vragen om twee verschillende blikken. Voor een individuele betaling is €95 miljoen uitzonderlijk groot. Voor Intesa Sanpaolo als groep is het geen bedreiging voor het voortbestaan. De bank meldde bij de halfjaarcijfers van 29 juli €5,6 miljard nettowinst en verhoogde de winstverwachting voor heel 2026 tot meer dan €10 miljard.

De beslissende rekensom begint bruto en eindigt netto. Van de gemelde €95 miljoen zou €59 miljoen zijn teruggehaald: €95 miljoen min €36 miljoen. Het herstelpercentage is daarmee €59 miljoen gedeeld door €95 miljoen, oftewel 62,1 procent. Netto blijft €36 miljoen over. Als vergelijkingsmaat is dat €3 miljoen per maand wanneer je het bedrag over twaalf maanden uitsmeert, maar de fraude zelf is natuurlijk geen maandelijkse kostenpost. Tegen een jaarwinst van €10 miljard is €36 miljoen ongeveer 0,36 procent. De officiële winstcijfers staan in de halfjaarupdate van Intesa Sanpaolo.

Die verhouding maakt het incident financieel draaglijk, niet onbelangrijk. Een bank moet daarnaast onderzoek doen, systemen en bevoegdheden nalopen, toezichthouders informeren waar dat nodig is en mogelijk juridische procedures voeren om geld terug te krijgen. De directe nettoschade is dus niet hetzelfde als de totale rekening. Bovendien kan een controlefout die één keer €95 miljoen doorlaat, bij een volgend doelwit opnieuw worden geprobeerd.

Sterke authenticatie stopt geen verkeerde intentie

De Europese cijfers laten zien waarom dit probleem breder is dan één Italiaanse bank. In 2024 liep de waarde van betaalfraude in de Europese Economische Ruimte op tot €4,2 miljard, tegen €3,5 miljard in 2023. Volgens het gezamenlijke frauderapport van de EBA en de ECB bleef fraude als aandeel van alle betalingen met circa 0,002 procent zeer klein, maar steeg het bedrag wel. Bij overboekingen droegen gebruikers ongeveer 85 procent van de verliezen, vooral doordat zij werden misleid om zelf te betalen.

Dat laatste is de kern. Sterke klantauthenticatie controleert dat de juiste gebruiker met een extra stap inlogt of betaalt. Zij is effectief tegen veel vormen van kaartfraude en gestolen inloggegevens. Maar als de gebruiker door een nepbestuurder wordt overtuigd, bevestigt het systeem een echte handeling met een verkeerde bedoeling. De beveiliging werkt dan technisch zoals ontworpen, terwijl de uitkomst toch fout is.

Mike Timoney, verantwoordelijk voor veilige betalingen bij de Federal Reserve Bank of Boston, legt hetzelfde mechanisme uit in een gesprek over betaalfraude. Banken zien een vertrouwd apparaat, de juiste gebruiker en een geldige bevestiging. Alleen de reden achter de betaling is gemanipuleerd. Snelle en grensoverschrijdende betalingen maken herstel vervolgens lastiger, omdat geld zich sneller over meerdere rekeningen en rechtsgebieden kan verspreiden.

De sterkste tegenwerping is dat extra controles betalingen vertragen en medewerkers verleiden tot omwegen. Dat risico is reëel. Een bank die voor iedere normale betaling drie telefoontjes eist, maakt de procedure duur en onwerkbaar. De betere oplossing is selectief: leg een hogere drempel op bij nieuwe begunstigden, grote bedragen, ongebruikelijke landen, afwijkende tijdstippen of een combinatie daarvan. Dan zit de wrijving waar het potentiële verlies het grootst is.

Hoeveel herstel is genoeg

De omgekeerde vraag is nuttiger dan alleen vaststellen hoeveel geld nog weg is. Stel dat een organisatie bij een brutoblootstelling van €95 miljoen maximaal €1 miljoen direct verlies wil accepteren. Dan moet zij €94 miljoen terughalen. Dat is 98,9 procent van het oorspronkelijke bedrag. Zelfs 90 procent herstel laat nog €9,5 miljoen verlies achter.

Deze rekensom zegt niet dat herstel altijd mogelijk is. Zij laat juist zien waarom preventie zoveel waard is. Zodra een internationale betaling is uitgevoerd, hangt de uitkomst af van de snelheid van signalering, medewerking van ontvangende banken, beslaglegging en de vraag of het geld al verder is verspreid. Een controle vóór vrijgave hoeft maar één keer goed te werken; terughalen vereist daarna een hele keten die op tijd reageert.

Drie scenario’s voor één incident

Een driejaarsprognose zou hier vooral schijnzekerheid opleveren. Het aantal toekomstige pogingen, de bedragen en de kans op herstel zijn niet openbaar bekend. Daarom zijn de scenario’s hieronder geen voorspelling, maar drie uitkomsten voor precies dezelfde brutoblootstelling van €95 miljoen. Alleen het teruggehaalde deel verandert.

In een scenario met moeizaam herstel komt 30 procent terug en blijft €66,5 miljoen weg. Het basisscenario sluit aan bij de gemelde stand: 62,1 procent herstel en €36 miljoen nettoverlies. Bij sterk herstel van 90 procent resteert €9,5 miljoen. De formule is steeds €95 miljoen maal één min het herstelpercentage. Het verschil tussen de uitersten bedraagt €57 miljoen, zonder dat de oorspronkelijke betaling een euro verandert.

Wie profiteert en wie betaalt, hangt daarna af van aansprakelijkheid en verzekering. De ontvangers in de fraudeketen profiteren zolang geld niet wordt teruggevonden. De bank, een verzekeraar of uiteindelijk aandeelhouders dragen de directe financiële last, afhankelijk van de dekking en de boekhoudkundige verwerking. Klanten betalen niet automatisch via één zichtbare toeslag, maar kunnen wel indirect geraakt worden als extra controles dienstverlening trager of duurder maken.

Wat dit zegt over banken en beleggers

Voor beleggers is de gemelde €36 miljoen op zichzelf niet groot genoeg om de winstverwachting van Intesa Sanpaolo te veranderen. De relevante vraag is of het om een geïsoleerde fout gaat of om een zwakke plek in de betaalorganisatie. Eén incident kan worden opgevangen. Een procedure die gezag, haast en een vertrouwde stem zwaarder laat wegen dan onafhankelijke verificatie, verdient meer aandacht dan het bedrag alleen.

Voor bestuurders is de les eenvoudig: een stem is geen handtekening en een chatbericht is geen tweede goedkeuring. Grote betalingen vragen een controle via een kanaal dat de aanvrager niet zelf heeft aangeleverd. De medewerker die uitvoert, moet zonder reputatieschade kunnen pauzeren en terugbellen. Dat klinkt minder spectaculair dan nieuwe detectiesoftware, maar het pakt precies het economische mechanisme van de fraude aan.

Lees ook: Beleggingsfraude explodeert en lokt Nederlanders in online valstrikken.

Ons oordeel is daarom nuchter. De gemelde zaak is geen reden om te twijfelen aan de financiële draagkracht van Intesa Sanpaolo, wel een waarschuwing dat betaalbevoegdheid zonder onafhankelijke opdrachtcontrole onvoldoende is. Dat oordeel verandert als de bank of een toezichthouder de toedracht weerspreekt, als blijkt dat het nettobedrag materieel anders ligt, of als meerdere vergelijkbare incidenten aantonen dat dezelfde controlefout breder in de groep voorkomt.