Sinds 1 januari 2026 sturen Belgische ondernemingen elkaar facturen via Peppol. Voor veel boekhoudingen voelde dat als een opluchting: geen pdf’s meer in de mailbox, dus ook geen valse facturen meer. Die conclusie klopt maar half. Peppol maakt het transport van een factuur veiliger, maar het controleert niet of het rekeningnummer op die factuur van uw leverancier is.
Dit artikel zet per fraudevorm op een rij wat Peppol tegenhoudt en wat niet, wat er in België al misliep, wie de schade draagt en welke controles uw boekhouding vandaag inbouwt.
In het kort
- Peppol garandeert dat een factuur ongewijzigd aankomt bij de juiste ontvanger, niet dat het rekeningnummer op die factuur klopt.
- Wie de facturatiesoftware of de mailbox van een leverancier overneemt, verstuurt een technisch geldige factuur met een vals rekeningnummer.
- In december 2025 toonde Safebyte aan dat een Peppol-registratie mogelijk was onder andermans btw-nummer, zonder identiteitscontrole.
- Betaalt u een oplichter, dan blijft u de echte leverancier in principe nog altijd schuldig.
- De verdediging zit in de betaalprocedure: een gewijzigd rekeningnummer belt u altijd na op een nummer dat u al kende.
Houdt Peppol fraude met facturen tegen?
Nee. Peppol, het netwerk voor e-facturatie dat in België sinds 1 januari 2026 verplicht is tussen ondernemingen, beveiligt het transport van een factuur. Het controleert niet of het rekeningnummer van de leverancier is, en ook niet of er echt geleverd werd. Een factuur met een vals rekeningnummer reist even veilig als een echte.
Toch is de gedachte dat Peppol factuurfraude oplost niet dom. Het netwerk is gesloten: facturen lopen via erkende toegangspunten, de zogenaamde access points, en elke deelnemer is gekoppeld aan een ondernemingsnummer. Een pdf onderscheppen en het rekeningnummer aanpassen, zoals dat bij gehackte mailboxen jarenlang gebeurde, lukt onderweg niet meer. Dat is echte winst.
Maar oplichters vallen het netwerk niet aan. Ze vallen de plekken aan waar een factuur gemaakt, ontvangen en betaald wordt: de software van de leverancier, de mailbox van de boekhouder, de registratie bij een toegangspunt en de medewerker die de betaling uitvoert. Daar verandert Peppol niets aan.
Wat garandeert Peppol, en wat niet?
| Wat Peppol wel doet | Wat Peppol niet doet |
|---|---|
| De factuur bezorgen via erkende toegangspunten | Nagaan of het rekeningnummer bij de leverancier hoort |
| Bewaken dat het bestand onderweg niet verandert | Nagaan of de goederen of diensten echt geleverd zijn |
| Een deelnemer koppelen aan een identificatie, in België het ondernemingsnummer | Garanderen dat de verzender zelf te goeder trouw is |
| De opbouw van de factuur controleren volgens de Europese norm | Zien of het account van de verzender is overgenomen |
Er blijft ook een e-mailroute bestaan. Hermes, de dienst van FOD BOSA, bezorgt een Peppol-factuur als pdf per e-mail aan een ontvanger die nog niet op Peppol zit. Daarnaast vallen facturen aan consumenten en aan buitenlandse klanten niet onder de Belgische verplichting. Een pdf-factuur in de mailbox is dus niet per definitie verdacht, en dat weten oplichters ook.
Factuurfraude in het Peppol-tijdperk: zes vormen naast elkaar
| Fraudevorm | Wat Peppol verandert | Wat blijft |
|---|---|---|
| Valse pdf-factuur per e-mail | Een binnenlandse factuur tussen bedrijven hoort via Peppol te komen, dus een pdf valt meer op | De oplichter geeft een uitleg mee: een storing, een spoedlevering, een buitenlandse vestiging |
| Gewijzigd rekeningnummer in een echte factuur | Onderweg aanpassen lukt niet meer | Wie de facturatiesoftware van de leverancier overneemt, past het rekeningnummer aan vóór de verzending |
| Overgenomen mailbox van een leverancier | De factuur zelf loopt niet meer via die mailbox | De aanvaller mailt dat het rekeningnummer op de Peppol-factuur verouderd is en vraagt een betaling naar een nieuw nummer |
| Phishing in naam van de overheid | Niets | De nieuwe verplichting is een geloofwaardig onderwerp om inloggegevens van de boekhouding te stelen |
| Registratie onder andermans ondernemingsnummer | Aanmelden verloopt via een toegangspunt | Controleert dat toegangspunt de identiteit niet, dan kan iemand inkomende facturen omleiden of facturen in uw naam versturen |
| Spookfactuur van een bestaande maar malafide onderneming | De afzender is traceerbaar via zijn Peppol-identificatie | Wie facturen automatisch inboekt en betaalt, merkt een factuur zonder levering niet op |
De rode draad: Peppol verplaatst het risico van het transport naar de randen. Een factuur die via het netwerk binnenkomt, krijgt vaak meer vertrouwen dan een pdf in de mailbox. Precies dat vertrouwen maakt de tweede en de derde vorm gevaarlijk. Hoe een overgenomen mailbox er bij een bedrijf uitziet, leest u in ons artikel over business email compromise. Hoe aanvallers aan de inloggegevens komen, staat in ons artikel over gelekte bedrijfsaccounts en infostealers.
Wat liep er in België al mis rond Peppol?
Op 30 december 2025, twee dagen voor de verplichting inging, meldde het Belgische securitybedrijf Safebyte dat het zich bij een Peppol-registratie kon aanmelden onder een willekeurig btw-nummer. Het registratieproces controleerde niet wie de aanvrager was. VTM Nieuws, De Tijd en Trends brachten het verhaal. Wie zo het ondernemingsnummer van een ander bedrijf registreert, kan volgens Safebyte de inkomende facturen van dat bedrijf ontvangen of facturen in zijn naam versturen.
U controleert dat zelf in de Peppol Directory (directory.peppol.org). Zoek uw ondernemingsnummer op en kijk of het toegangspunt dat eraan gekoppeld is, ook echt dat van uw facturatiesoftware is. Staat er iets wat u niet herkent, neem dan contact op met uw softwareleverancier.
De FOD Financiën waarschuwt op haar website geregeld voor valse e-mails en sms’en in haar naam. Echte berichten komen van een adres op minfin.fed.be, en betalingen aan de FOD verlopen via MyMinfin of een officieel rekeningnummer. Een bericht dat u vraagt om “uw e-facturatie te activeren” via een link, verdient dezelfde argwaan als elke andere phishingmail. Verdachte berichten stuurt u door naar verdacht@safeonweb.be. Welke vormen phishing vandaag aanneemt, ziet u in ons overzicht van zeven soorten phishing.
Bevestigde gevallen waarbij een geldig toegangspunt valse facturen doorstuurde, vonden we niet. De zwakke plekken zaten tot nu toe bij de aanmelding en bij de mensen en systemen rond het netwerk. Het probleem zelf is niet nieuw: volgens Febelfin (oktober 2025) ontving de FOD Economie in 2024 215 meldingen van factuurfraude, met ruim 3,3 miljoen euro gemelde schade. Dat zijn meldingen, geen volledige telling.
Wie betaalt de schade als u een oplichter betaalt?
In principe uzelf. Een betaling is alleen geldig als ze bij de echte schuldeiser terechtkomt. Wie naar een vals rekeningnummer overschrijft, blijft de leverancier dus schuldig. De Ondernemingsrechtbank Leuven paste die regel op 18 december 2025 toe in een zaak die advocatenkantoor Everest in april 2026 besprak: de klant moest opnieuw betalen.
De bank draagt meestal evenmin schuld. Volgens artikel VII.55/2 van het Wetboek van economisch recht is een bank niet aansprakelijk als ze een overschrijving uitvoert naar het rekeningnummer dat u zelf hebt opgegeven. Alleen als de leverancier zelf de schijn wekte dat het nieuwe nummer klopte, bijvoorbeeld omdat zijn eigen systemen gehackt waren, kan de schade verschuiven. Dat moet u wel bewijzen, en rechters zijn daar streng in.
Automatisch inboeken heeft nog een tweede gevolg. Volgens artikel 8.11 van het Burgerlijk Wetboek geldt een factuur die een onderneming niet binnen een redelijke termijn betwist als bewijs tegen haar. Juristen wijzen erop dat een rechter het automatisch verwerken van een Peppol-factuur als aanvaarding kan lezen. Een goedkeuringsstap vóór de boeking is dus ook juridisch verstandig. Voor boekhoudkantoren speelt daarbij nog de vraag naar hun eigen beroepsaansprakelijkheid; die staat in ons artikel over cybersecurity voor boekhoudkantoren.
De naamcontrole van uw bank helpt, maar beslist niet voor u
Sinds 9 oktober 2025 controleren alle banken in de eurozone bij een overschrijving in euro of de naam van de begunstigde overeenkomt met het rekeningnummer. Komt die niet overeen, dan krijgt u een waarschuwing. Dat is een nuttige rem op factuurfraude, maar ze heeft drie grenzen:
- De controle blokkeert niets. U kunt na de waarschuwing bewust doorgaan, op eigen risico.
- Overschrijvingen buiten de eurozone vallen erbuiten.
- Ze toetst alleen of naam en rekening bij elkaar passen. Of die naam ook uw leverancier is, beslist uw medewerker.
Checklist voor uw factuur- en betaalprocedure
- Wijzig een rekeningnummer nooit op basis van een factuur of e-mail alleen. Bel de leverancier terug op een nummer uit uw eigen bestand, niet op het nummer in het bericht.
- Laat het rekeningnummer uit een inkomende Peppol-factuur nooit automatisch uw leveranciersgegevens overschrijven. Een afwijking blokkeert de betaling tot iemand ze nagekeken heeft.
- Scheid de taken: wie leveranciersgegevens wijzigt, keurt geen betalingen goed.
- Stel in uw bankportaal een dubbele handtekening in boven een intern drempelbedrag.
- Stop een betaling zodra de naamcontrole van de bank een afwijking meldt, en bel eerst.
- Koppel betalen aan leveren: geen automatische betaling zonder goedgekeurde bestelling of ontvangstbevestiging.
- Zoek een keer per kwartaal uw eigen ondernemingsnummer op in de Peppol Directory.
- Bescherm de mailbox en het facturatieaccount met meervoudige authenticatie en een correcte e-mailconfiguratie. Hoe dat zit met SPF, DKIM en DMARC, leest u in ons artikel over e-mailbeveiliging voor kmo’s, en hoe afzenders vervalst worden in ons artikel over spoofing.
- Oefen deze scenario’s met de mensen die facturen boeken en betalen. Een procedure op papier helpt pas als iemand ze toepast onder tijdsdruk.
Weet uw boekhouding wat ze doet bij een gewijzigd rekeningnummer?
Cyberplan test met een gecontroleerde phishingsimulatie hoe uw financiële medewerkers reageren op een overtuigend bericht van een “leverancier” met een nieuw rekeningnummer, binnen afspraken die u vooraf goedkeurt. U krijgt een rapport per team en per procedure, geen lijst met namen. Meer daarover leest u op onze pagina over phishing-simulaties voor uw bedrijf.
Veelgestelde vragen
Kan een Peppol-factuur vals zijn?
Ja. Peppol garandeert dat een factuur ongewijzigd van het ene toegangspunt naar het andere reist, niet dat de inhoud klopt. Heeft een aanvaller toegang tot de facturatiesoftware van een leverancier, of registreert iemand zich onder andermans ondernemingsnummer, dan komt een technisch geldige factuur met een vals rekeningnummer binnen.
Waarom controleert Peppol het rekeningnummer niet?
Peppol is een transportnetwerk voor bedrijfsdocumenten, geen betaalsysteem. Het controleert of een factuur volgens de norm is opgebouwd en ongewijzigd aankomt, maar het heeft geen toegang tot bankgegevens. Of een rekeningnummer van uw leverancier is, moet uw eigen betaalprocedure nagaan.
Wat doet u bij een gewijzigd rekeningnummer op een Peppol-factuur?
Betaal niet en zet de factuur op pauze in uw boekhouding. Bel de leverancier op een telefoonnummer dat u al in uw eigen bestand had, nooit op een nummer uit de factuur of de begeleidende e-mail. Pas na een bevestiging langs die weg past u de leveranciersgegevens aan.
Wie draagt de schade als u een oplichter betaalt?
In principe de betaler. Een betaling aan de verkeerde persoon bevrijdt u niet van uw schuld, dus u blijft de echte leverancier schuldig. De bank is niet aansprakelijk als ze uitvoert naar het opgegeven rekeningnummer. Alleen als de leverancier zelf de schijn van een nieuw nummer wekte, kan dat anders liggen.
Beschermt de naamcontrole van de bank tegen factuurfraude?
Gedeeltelijk. Sinds 9 oktober 2025 waarschuwt elke bank in de eurozone als de naam van de begunstigde niet bij het rekeningnummer past. De controle blokkeert de betaling niet, geldt niet buiten de eurozone en zegt niets over de vraag of die naam echt uw leverancier is.
