Safeonweb waarschuwde op 7 september 2026 voor CEO-fraude via Microsoft Teams: criminelen sturen medewerkers een onverwachte chat of vergaderuitnodiging en doen zich voor als directeur, met echte namen en functies, om een betaling, vertrouwelijke informatie of inloggegevens los te krijgen.
Teams laat standaard chats met alle externe organisaties toe. Beperk dat in het Teams-beheercentrum waar het niet nodig is, en spreek af dat niemand betaalt of rekeninggegevens wijzigt op basis van enkel een chat.
In het kort
- Safeonweb kreeg in de zomer van 2026 verschillende meldingen van CEO-fraude via Teams-chats en vergaderuitnodigingen.
- De fraudeurs bereiden zich goed voor: ze kennen namen, functies, bestuurders en soms interne vergaderingen.
- Het doelwit zijn medewerkers die betalingen kunnen doen of gevoelige informatie beheren: boekhouding, directie, juridische en administratieve diensten.
- Teams staat standaard contact toe met alle externe Microsoft 365-organisaties. Drie instellingen maken dat strenger.
- De afspraak die de betaling stopt: nooit betalen op basis van enkel een chat, altijd controleren via een tweede, gekend kanaal.
Hoe werkt CEO-fraude via Teams?
Bij klassieke CEO-fraude komt het verzoek per mail of telefoon. Bij deze variant komt het in Teams, de omgeving waar medewerkers dagelijks met collega’s chatten en vergaderen. Volgens de waarschuwing van Safeonweb verloopt het zo:
- Een medewerker krijgt onverwacht een Teams-bericht of een uitnodiging voor een vergadering van iemand die zich voordoet als CEO, bestuurder, aandeelhouder of andere leidinggevende. Naam en functie lijken op het eerste gezicht te kloppen.
- De afzender kent details over de organisatiestructuur, de bestuurders, de aandeelhouders of interne vergaderingen. Het bericht komt daardoor overtuigend over.
- Daarna volgt de druk: snel een betaling uitvoeren, vertrouwelijke informatie doorsturen of inloggegevens geven. Vaak met de vraag om het geheim te houden of de gewone procedure over te slaan.
Het verschil met een mail is de context. Een chat in Teams voelt als intern, dringend en persoonlijk. Wie gewend is om de directeur in Teams snel te antwoorden, kijkt minder goed naar wie er echt schrijft. Hoe hetzelfde spel via mail loopt, beschrijven we in ons artikel over BEC-fraude bij Vlaamse kmo’s, en met een nagemaakte stem in deepfake-fraude.
Waarom komt een vreemde zomaar in uw Teams?
Omdat Teams dat standaard toelaat. Volgens Microsoft staat de functie externe toegang standaard open voor alle externe domeinen: iedereen met een Microsoft 365-account bij een andere organisatie kan uw medewerkers zoeken, aanschrijven en uitnodigen. Een crimineel heeft dus enkel een eigen Microsoft 365-omgeving nodig, met een naam die op die van uw directeur lijkt. Daarnaast kan Teams ook chats met persoonlijke, gratis Teams-accounts toelaten.
Een medewerker krijgt bij een eerste chat van buiten de organisatie wel de keuze om die te aanvaarden of te blokkeren. Maar wie denkt met de directeur te praten, klikt snel op aanvaarden.
Welke Teams-instellingen houden het tegen?
Safeonweb raadt organisaties aan de instellingen voor externe communicatie en gasttoegang in Teams na te kijken en externe toegang te beperken waar ze niet nodig is. Uw IT-partner vindt de instellingen in het Teams-beheercentrum onder Users, External access. De namen hieronder zijn die uit het Engelstalige beheercentrum.
| Instelling | Wat ze doet | Effect op fraude | Nadeel |
|---|---|---|---|
| 1. Allow only specific external domains | Enkel organisaties op een lijst mogen chatten, bellen en vergaderen | Een vreemde Microsoft 365-omgeving kan uw medewerkers niet meer aanschrijven | Nieuwe klanten of partners moeten eerst op de lijst |
| 2. People in my organization can communicate with unmanaged Teams accounts | Chats met persoonlijke, gratis Teams-accounts toestaan of niet | Uitzetten sluit een makkelijke route voor fraudeurs zonder bedrijfsomgeving | Contact met zelfstandigen of klanten met een persoonlijk account valt weg |
| 3. External users with Teams accounts not managed by an organization can contact users in my organization | Persoonlijke accounts mogen zelf een gesprek beginnen | Uitvinken: uw medewerkers moeten zelf het gesprek starten; een vreemde kan hen niet opzoeken | Klein |
Is een strikte lijst met toegestane domeinen te veel werk, dan kan het ook per groep. Met een beleid voor externe toegang kan uw IT-partner bijvoorbeeld enkel de medewerkers die betalingen doen beperken tot bekende organisaties, terwijl de rest vrij blijft samenwerken. Bekende fraudeaccounts kunnen ook afzonderlijk geblokkeerd worden. Kijk tegelijk na wie als gast toegang heeft tot uw teams en kanalen. Een volledige controle van de instellingen in Microsoft 365 beschrijven we in ons artikel over de Microsoft 365 security audit.
De afspraak die de betaling stopt
Een instelling verkleint de kans dat een fraudeur binnenraakt. Een afspraak stopt de betaling als hij er toch door komt. Die afspraak is eenvoudig en kost niets:
- Nooit betalen of rekeninggegevens wijzigen op basis van enkel een chat, ook niet als het van de directeur lijkt te komen.
- Altijd controleren via een tweede, gekend kanaal. Bel zelf terug op een nummer uit uw eigen gegevens, niet uit het bericht.
- Vier ogen voor betalingen boven een bedrag dat u als organisatie zelf vastlegt.
- Wachten mag. Elke medewerker mag een dringend verzoek van “de directeur” laten wachten om het te controleren, zonder dat dat gevolgen heeft. Zeg dat als directie ook uitdrukkelijk.
Het laatste punt is het belangrijkste. De fraude werkt op tijdsdruk en gezag. Een directeur die zelf zegt “controleer mij altijd”, neemt de fraudeur zijn sterkste wapen af.
Herkenningssignalen voor medewerkers
| Signaal | Wat u doet |
|---|---|
| Een onverwachte chat of uitnodiging van een leidinggevende, met een aanduiding dat de afzender extern is | Kijk naar het account, niet enkel naar de naam. Aanvaard de chat niet voor u het gecontroleerd hebt. |
| Een vraag om snel te betalen of rekeninggegevens te wijzigen | Niet uitvoeren. Bel de persoon zelf terug op een gekend nummer. |
| Een vraag om het geheim te houden of de procedure over te slaan | Dat is net de reden om het te melden. |
| Een vraag naar een wachtwoord, code of vertrouwelijk document | Nooit doorgeven via Teams, ook niet bij dringende hulp. |
Herkennen is te oefenen. Met een phishingsimulatie leren medewerkers een vervalst verzoek zien voor het echt gebeurt.
Variant: de valse helpdesk in Teams
Dezelfde weg dient ook voor een ander scenario. Microsoft waarschuwde in september 2026 voor aanvallen via Teams waarbij aanvallers zich voordoen als IT- of helpdeskmedewerker, meldde Security.NL. Het doel is dan geen betaling maar toegang: de medewerker moet een programma installeren of zijn inloggegevens geven. De instellingen hierboven helpen ook daartegen. Hoe de omgekeerde versie werkt, met een valse medewerker die de helpdesk belt, leest u in ons artikel over Scattered Spider en de helpdesktruc.
“Dan kunnen we niet meer samenwerken met klanten”
Voor een bedrijf dat dagelijks met tientallen externe organisaties in Teams werkt, is een strikte lijst met toegestane domeinen inderdaad werk. Dat hoeft ook niet de eerste stap te zijn. Persoonlijke Teams-accounts uitzetten, inkomend contact van zulke accounts blokkeren of enkel de boekhouding beperken, raakt de samenwerking nauwelijks. En de betaalafspraak werkt los van elke instelling.
Wat als u al gereageerd hebt?
Safeonweb geeft vier stappen voor wie al gegevens deelde, betaalde of een wachtwoord ingaf:
- Verwittig meteen de IT-verantwoordelijke van uw organisatie.
- Is de betaling al gebeurd, contacteer dan meteen uw bank om ze te proberen tegenhouden.
- Doe aangifte bij de politie.
- Meld het incident bij het Centrum voor Cybersecurity België.
Een verdacht bericht doorsturen kan ook naar verdacht@safeonweb.be. Meer daarover in ons artikel over phishing melden in België.
Uw medewerkers voorbereiden
Cyberplan organiseert phishingsimulaties die tonen hoe uw medewerkers reageren op een vervalst verzoek, en welke afdelingen extra aandacht nodig hebben. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Bekijk hoe een phishingsimulatie werkt.
Veelgestelde vragen
Hoe werkt CEO-fraude via Teams?
Een medewerker krijgt onverwacht een Teams-chat of vergaderuitnodiging van iemand die zich voordoet als CEO, bestuurder of aandeelhouder. Volgens Safeonweb (september 2026) gebruiken de fraudeurs echte namen, functies en details over de organisatie, en zetten ze druk om te betalen, vertrouwelijke informatie te delen of inloggegevens af te geven.
Kan iedereen mij via Teams een bericht sturen?
Standaard staat Teams chats en vergaderingen toe met alle externe organisaties die Microsoft 365 gebruiken, en eventueel met persoonlijke Teams-accounts. Een beheerder kan dat in het Teams-beheercentrum beperken tot een lijst met toegestane domeinen, persoonlijke accounts uitzetten en specifieke externe gebruikers blokkeren.
Hoe herken ik een valse directeur in Teams?
Kijk niet alleen naar de naam, maar naar het account: staat er een aanduiding dat de afzender extern is, komt het bericht van een ander domein, vraagt Teams of u de chat wilt aanvaarden? Wees extra voorzichtig bij verzoeken om procedures over te slaan, iets geheim te houden of snel te handelen.
Welke Teams-instellingen helpen tegen CEO-fraude?
Drie instellingen onder External access in het Teams-beheercentrum: enkel specifieke externe domeinen toestaan, chats met persoonlijke Teams-accounts uitzetten, en verhinderen dat zulke accounts zelf contact opnemen. Kan dat niet voor iedereen, beperk het dan met een beleid voor de medewerkers die betalingen doen.
Wat doe ik als ik al betaald heb?
Verwittig meteen uw IT-verantwoordelijke en uw bank om de betaling te proberen tegenhouden. Doe aangifte bij de politie en meld het incident bij het Centrum voor Cybersecurity België. Hebt u een wachtwoord ingegeven, laat het dan meteen wijzigen. Dat is het advies van Safeonweb van september 2026.
