Het antwoord is dat AI-modellen zoals Claude inmiddels beter zijn in het winnen van vertrouwen van potentiële slachtoffers dan menselijke oplichters. Dat blijkt uit een experiment van Bright, waarin het AI-model het opnam tegen menselijke criminelen binnen hun eigen vakgebied. Voor ondernemers betekent dit dat de dreiging van geavanceerde social engineering niet langer hypothetisch is, maar een realiteit die vandaag je processen kan raken.

Wat er aan de hand is

Bright voerde een experiment uit waarin het AI-model Claude het opnam tegen menselijke oplichters. De uitkomst was opmerkelijk: Claude won overtuigend. Maar het doel was niet om criminelen te ontmaskeren. In plaats daarvan nam de AI het binnen hun eigen vakgebied tegen hen op: het winnen van het vertrouwen van potentiële slachtoffers. Daarin bleek de AI dus beter dan mensen. Het nieuws is zorgelijk, omdat het aantoont dat dezelfde technologie die bedrijven kan beschermen, ook ingezet kan worden om fraude op grotere schaal en met meer overtuigingskracht uit te voeren.

Wat dit betekent

Voor het MKB betekent dit dat de traditionele signalen van oplichting niet meer volstaan. Waar je eerder kon letten op taal- of spellingsfouten, vreemde zinsconstructies of onlogische verzoeken, kan AI die aanwijzingen nu gladstrijken. Een frauduleus bericht kan er straks uitzien als een perfect geschreven, persoonlijk en contextueel kloppend verzoek. Dit raakt direct aan processen zoals klantcontact, factuurverwerking en leverancierscommunicatie. De kans dat een medewerker een frauduleus verzoek voor een betaalwijziging of een nep-factuur niet herkent, neemt toe naarmate de kwaliteit van de communicatie stijgt. Het is geen kwestie van of je ermee te maken krijgt, maar wanneer.

Hoe je dit kunt toepassen

Als je een webshop runt, kun je te maken krijgen met klanten die via AI-gegenereerde berichten proberen je medewerkers te manipuleren. Denk aan een ‘klant’ die een overtuigend verhaal houdt over een mislukte betaling en vraagt om een terugbetaling op een ander rekeningnummer. Overweeg om bij elke wijziging van betaalgegevens een extra verificatiestap in te bouwen, zoals een terugbelverzoek naar het bekende nummer van de klant. Maak dit proces standaard, ook als het verhaal nog zo overtuigend is.

Als je een team aanstuurt, is het belangrijk om je medewerkers te trainen in het herkennen van AI-gedreven social engineering. Een mogelijkheid is om een intern protocol op te stellen waarin staat dat verzoeken om geldoverboekingen of het delen van inloggegevens altijd via een tweede kanaal worden bevestigd. Je zou kunnen overwegen om regelmatig een nep-fraudebericht als oefening door je organisatie te sturen, zodat medewerkers leren om niet op inhoud maar op proces te vertrouwen.

Als je in de financiële administratie werkt, is het risico groot dat je een frauduleuze factuur ontvangt die er volkomen legitiem uitziet. AI kan de stijl van een vaste leverancier perfect nabootsen. Een concrete suggestie is om een vaste controle in te bouwen waarbij het rekeningnummer op elke factuur handmatig wordt vergeleken met het nummer dat in je systeem staat. Vertrouw niet op de tekst van de factuur, maar op de database. Overweeg om betalingen naar nieuwe of gewijzigde rekeningnummers altijd te blokkeren totdat een tweede persoon heeft gecontroleerd.

Als je klantcontact via e-mail of chat laat lopen, kun je overwegen om bij gevoelige verzoeken altijd over te schakelen naar een medium dat je zelf initieert. Een mogelijkheid is om bij een verzoek om wachtwoordreset of adreswijziging niet te reageren op het inkomende bericht, maar zelf een nieuw bericht te sturen naar het bij jou bekende adres. Zo voorkom je dat je meegaat in een gesprek dat door AI wordt gestuurd.

De praktische toepassing hangt af van jouw situatie, maar de kern is duidelijk: vertrouw niet op de kwaliteit van het verhaal, maar op de kwaliteit van je verificatieproces.

Bron: Bright