Board members hold the keys and sign the payments, and their names, faces and voices are public. That makes the people at the top a route in: through personal mail and phones, through a cloned voice on a call, through the board pack, and on the road. This briefing is about you, not about IT. Four routes, and what closes each. Bestuurders hebben de sleutels, tekenen de betalingen, en hun naam, gezicht en stem zijn openbaar. Dat maakt de top zelf een ingang: via privémail en telefoons, via een gekloonde stem aan de telefoon, via de vergaderstukken, en onderweg. Deze briefing gaat over u, niet over IT. Vier routes, en wat elke route sluit.
Your work laptop and mailbox are patched, monitored and protected with MFA. Your private mailbox, your own phone, the family tablet and your partner's accounts are not, and they hold a lot: travel plans, the board pack you forwarded to read on holiday, password resets for everything else. NCSC UK calls people whose role gives them access to sensitive information "high-risk individuals" and has written guidance for exactly this (2023, reviewed 2024): attackers go for personal accounts and devices because they are easier, and use what you and your family post online to make the approach credible.
Business impact: a takeover of your private mail is a company incident with no company log. Two settings do most of the work, and both are free: the strongest protection your mail provider offers (Google calls it the Advanced Protection Program and requires a security key or passkey), and Lockdown Mode on an iPhone (iOS 16 or later). We suggest the company helps the board, their assistants and their households set this up, rather than asking them to.
Uw werklaptop en werkmailbox zijn gepatcht, bewaakt en beveiligd met MFA. Uw privémailbox, uw eigen telefoon, de gezinstablet en de accounts van uw partner niet, en daar staat veel in: reisplannen, de vergaderstukken die u doorstuurde om op vakantie te lezen, de wachtwoordresets voor al het andere. Het Britse NCSC noemt mensen die door hun functie toegang hebben tot gevoelige informatie "high-risk individuals" en schreef precies hiervoor een richtlijn (2023, herzien 2024): aanvallers kiezen privéaccounts en -apparaten omdat die makkelijker zijn, en gebruiken wat u en uw gezin online delen om de benadering geloofwaardig te maken.
Bedrijfsimpact: een overname van uw privémail is een bedrijfsincident zonder bedrijfslog. Twee instellingen doen het meeste werk, en beide zijn gratis: de sterkste beveiliging die uw mailprovider biedt (Google noemt het Advanced Protection Program en vereist een beveiligingssleutel of passkey), en Lockdown Mode op een iPhone (iOS 16 of hoger). Wij stellen voor dat het bedrijf de directie, hun assistenten en hun huishouden helpt dit in te stellen, in plaats van het hun te vragen.
An AI tool builds a profile of you and your family from LinkedIn, the annual report, a podcast and your child's football club in minutes. The phishing mail then mentions the right names.Een AI-tool bouwt in minuten een profiel van u en uw gezin uit LinkedIn, het jaarverslag, een podcast en de voetbalclub van uw kind. De phishingmail noemt dan de juiste namen.
The AI assistant on your private phone reads your mail and calendar. Whoever takes over that account, or that assistant, reads along.De AI-assistent op uw privételefoon leest uw mail en agenda. Wie dat account, of die assistent, overneemt, leest mee.
The big mail providers use AI to block phishing and odd logins. That protection is strongest in their high-risk programmes, which is why switching them on matters.De grote mailproviders gebruiken AI om phishing en vreemde inlogs te blokkeren. Die bescherming is het sterkst in hun programma's voor risicogroepen, en daarom telt het inschakelen.
CEO fraud works because staff do what the top asks. It used to need a convincing email. It now needs a few minutes of your voice, and every keynote, podcast and results call provides that. In January 2024 a finance employee at the engineering firm Arup in Hong Kong paid out HK$200 million (about US$25 million) after a video call in which, as Hong Kong police reported and Arup confirmed, every other participant was a deepfake of a colleague. No system was broken into. The FBI's Internet Crime Complaint Center recorded US$3.0 billion in reported losses from business email compromise in 2025 (IC3 Annual Report, 2026). Mandiant's M-Trends 2026 report puts voice phishing second among the ways attackers get in (11%).
Business impact: recognising your voice or face is no longer proof that it is you, and the people who work for you need to hear that from you. We suggest one rule, from the board down: no payment, no change of bank details and no sharing of sensitive data on the strength of a call or a message alone, however senior or urgent. The check is a call back on a known number, or a code word with your assistant and family. The EU AI Act requires deepfakes to be labelled (Art. 50, from 2 August 2026), which criminals will not do.
CEO-fraude werkt omdat medewerkers doen wat de top vraagt. Vroeger was daar een overtuigende e-mail voor nodig. Nu volstaan een paar minuten van uw stem, en elke keynote, podcast en cijferpresentatie levert die. In januari 2024 maakte een financieel medewerker van ingenieursbureau Arup in Hongkong HK$200 miljoen (ongeveer US$25 miljoen) over na een videogesprek waarin, zo meldde de politie van Hongkong en bevestigde Arup, elke andere deelnemer een deepfake van een collega was. Er is geen systeem gekraakt. Het Internet Crime Complaint Center van de FBI registreerde in 2025 US$3,0 miljard aan gemelde schade door business email compromise (IC3-jaarrapport, 2026). Het M-Trends-rapport 2026 van Mandiant zet telefonische phishing op de tweede plaats van ingangen (11%).
Bedrijfsimpact: uw stem of gezicht herkennen is geen bewijs meer dat u het bent, en de mensen die voor u werken moeten dat van u horen. Wij stellen één regel voor, van de directie naar beneden: geen betaling, geen wijziging van bankgegevens en geen gevoelige gegevens op grond van alleen een telefoontje of bericht, hoe hoog of hoe dringend ook. De controle is terugbellen op een bekend nummer, of een codewoord met uw assistent en uw gezin. De Europese AI-verordening vereist dat deepfakes worden gelabeld (art. 50, vanaf 2 augustus 2026), en dat zullen criminelen niet doen.
Cloning a voice from a short public recording is a consumer service. Live video of a known face on a call is harder, but the Arup case shows it is done.Een stem klonen uit een korte openbare opname is een consumentendienst. Live video van een bekend gezicht in een gesprek is moeilijker, maar de zaak-Arup laat zien dat het gebeurt.
An AI note-taker in your board calls stores your voice and your words. Ask where those recordings go, and who can reach them.Een AI-notulist in uw directievergaderingen bewaart uw stem en uw woorden. Vraag waar die opnames heen gaan en wie erbij kan.
Deepfake detectors exist and improve, but they lag the generators. The call-back rule works regardless of how good the fake is.Deepfake-detectie bestaat en wordt beter, maar loopt achter op de generatoren. De terugbelregel werkt hoe goed de vervalsing ook is.
Strategy, acquisitions, results before they are published, the salary of the CEO, the legal dispute: it is all in one PDF, sent to ten people every month. A board portal exists so that this file is read inside an app, behind MFA, and withdrawn afterwards. The leak rarely comes from the portal. It comes from the pack forwarded to a private mailbox, printed for the train, opened on the family tablet, or kept by a board member who left two years ago. Minutes and the management letter from the auditor travel the same way.
Business impact: for a listed company this is inside information; for every company it is the negotiation position of the year. A stolen board pack is also a privacy incident when it contains personal data, with a duty to notify the AP within 72 hours. The ask is small: read the pack in the portal, on a device the company manages, and nowhere else. Where a board member cannot, that is worth a conversation, not an exception.
Strategie, overnames, cijfers vóór publicatie, het salaris van de CEO, het juridische geschil: het staat allemaal in één pdf, die elke maand naar tien mensen gaat. Een bestuursportaal bestaat zodat dat bestand in een app wordt gelezen, achter MFA, en daarna wordt ingetrokken. Het lek komt zelden uit het portaal. Het komt uit de stukken die naar een privémailbox zijn doorgestuurd, geprint voor in de trein, geopend op de gezinstablet, of bewaard door een commissaris die twee jaar geleden vertrok. Notulen en de management letter van de accountant reizen dezelfde weg.
Bedrijfsimpact: voor een beursgenoteerd bedrijf is dit voorwetenschap; voor elk bedrijf is het de onderhandelingspositie van het jaar. Gestolen vergaderstukken zijn ook een privacy-incident als ze persoonsgegevens bevatten, met een meldplicht bij de AP binnen 72 uur. De vraag is klein: lees de stukken in het portaal, op een apparaat dat het bedrijf beheert, en nergens anders. Waar een bestuurder dat niet kan, is dat een gesprek waard, geen uitzondering.
A stolen mailbox with five years of board packs is too much to read. An AI tool summarises it into the ten facts an extortionist or a competitor wants in an afternoon.Een gestolen mailbox met vijf jaar vergaderstukken is te veel om te lezen. Een AI-tool vat het in een middag samen tot de tien feiten die een afperser of concurrent wil.
A board member pastes the pack into a public chatbot to get a summary. The pack is now on a server outside your control, possibly used for training.Een bestuurder plakt de stukken in een publieke chatbot voor een samenvatting. De stukken staan nu op een server buiten uw controle, mogelijk gebruikt voor training.
Board portals increasingly offer AI summaries inside the app. That keeps the convenience and removes the reason to paste the pack elsewhere.Bestuursportalen bieden steeds vaker AI-samenvattingen in de app. Dat houdt het gemak en haalt de reden weg om de stukken elders te plakken.
A board member travels with the whole company in one phone: mail, the board pack, the banking app, the MFA codes. At a border the device can be inspected or taken out of sight. In the hotel, the safe is opened by staff. On a conference stage, you are the most interesting visitor in the building. The AIVD advises for travel to countries with an espionage risk: take a temporary laptop and phone, keep them with you rather than in the hotel safe, and do not connect them to the company network on return (guidance, 2025). NCSC-NL adds: no public USB chargers, and a VPN installed before you leave.
Business impact: the fix is a travel kit, not a lecture. For high-risk destinations the company hands out a clean phone and laptop with only what the trip needs, and wipes them afterwards. For every trip: a power bank instead of a public charger, the board pack read in the portal and not stored on the device, and a known number to call if the device is lost or taken. Which countries count as high-risk is a decision for the board with its security lead, and the list changes.
Een bestuurder reist met het hele bedrijf in één telefoon: mail, de vergaderstukken, de bankapp, de MFA-codes. Aan de grens kan het apparaat worden bekeken of uit het zicht worden meegenomen. In het hotel wordt de kluis geopend door het personeel. Op een congrespodium bent u de interessantste bezoeker van het gebouw. De AIVD adviseert voor reizen naar landen met een spionagerisico: neem een tijdelijke laptop en telefoon mee, houd ze bij u in plaats van in de hotelkluis, en sluit ze bij terugkomst niet aan op het bedrijfsnetwerk (richtlijn, 2025). Het NCSC voegt toe: geen openbare USB-opladers, en een VPN die u vóór vertrek installeert.
Bedrijfsimpact: de oplossing is een reiskit, geen preek. Voor risicobestemmingen geeft het bedrijf een schone telefoon en laptop mee met alleen wat de reis nodig heeft, en wist die daarna. Voor elke reis: een powerbank in plaats van een openbare oplader, de vergaderstukken in het portaal gelezen en niet op het apparaat bewaard, en een bekend nummer om te bellen als het apparaat kwijt of ingenomen is. Welke landen als risicovol gelden, is een besluit van de directie met de beveiligingsverantwoordelijke, en die lijst verandert.
Your conference talk is announced months ahead. An AI-written invitation from the "organiser", with the right programme and hotel, arrives in your private mail.Uw congreslezing wordt maanden vooraf aangekondigd. Een door AI geschreven uitnodiging van de "organisator", met het juiste programma en hotel, komt binnen op uw privémail.
Translation and travel apps installed abroad ask for access to your contacts, photos and microphone. On a loaner device, that costs nothing.Vertaal- en reisapps die u in het buitenland installeert, vragen toegang tot uw contacten, foto's en microfoon. Op een leenapparaat kost dat niets.
Your identity provider scores each login by device, place and behaviour. A login from your phone in one country and your laptop in another, an hour apart, gets stopped.Uw identiteitsprovider beoordeelt elke inlog op apparaat, plaats en gedrag. Een inlog vanaf uw telefoon in het ene land en uw laptop in het andere, een uur na elkaar, wordt tegengehouden.
| Control | Addresses | In one line |
|---|---|---|
| Strongest protection on private accounts | Private (01) | Security key or passkey on private mail (Google's Advanced Protection Program or equivalent), Lockdown Mode on the iPhone. The company sets it up with each board member and their household. |
| Work stays on managed devices | Private (01) | Board mail is read on a company-managed phone or laptop. No forwarding to private mail. Assistants included. |
| Call-back rule | Voice & face (02) | No payment, bank-detail change or sensitive data on a call, message or video alone. Verify on a known number. The board states the rule and accepts being checked. |
| Code word | Voice & face (02) | A word agreed with your assistant and your family for anything urgent that involves money or access. |
| Board portal only | Board pack (03) | Packs, minutes and the auditor's letters are read in the portal with MFA, not downloaded, and withdrawn after the meeting. Access ends the day a member leaves. |
| No public AI tools for board material | Board pack (03) | Summaries come from a tool the company has contracted, with no training on your data, or from the portal itself. |
| Travel kit | Travel (04) | Loaner phone and laptop for high-risk countries, wiped on return. Power bank, VPN installed before departure, a number to call when a device is lost or seized. |
| Public footprint review | All | Once a year, someone looks at what the internet shows of each board member and their family: home address, routines, children's schools, leaked passwords. |
| Board training that includes this | All | NIS2 Art. 20 and the Cyberbeveiligingswet require board training. We suggest making the board's own exposure the first module. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Sterkste beveiliging op privéaccounts | Privé (01) | Beveiligingssleutel of passkey op privémail (Google's Advanced Protection Program of gelijkwaardig), Lockdown Mode op de iPhone. Het bedrijf stelt het in met elke bestuurder en diens huishouden. |
| Werk blijft op beheerde apparaten | Privé (01) | Bestuursmail wordt gelezen op een door het bedrijf beheerde telefoon of laptop. Niet doorsturen naar privémail. Assistenten inbegrepen. |
| Terugbelregel | Stem & gezicht (02) | Geen betaling, wijziging van bankgegevens of gevoelige gegevens op alleen een telefoontje, bericht of video. Controleer op een bekend nummer. De directie stelt de regel en accepteert dat zij wordt gecontroleerd. |
| Codewoord | Stem & gezicht (02) | Een woord dat u afspreekt met uw assistent en uw gezin voor alles wat dringend is en om geld of toegang gaat. |
| Alleen het bestuursportaal | Vergaderstukken (03) | Stukken, notulen en de brieven van de accountant worden gelezen in het portaal met MFA, niet gedownload, en na de vergadering ingetrokken. Toegang eindigt op de dag dat een lid vertrekt. |
| Geen publieke AI-tools voor bestuursstukken | Vergaderstukken (03) | Samenvattingen komen uit een tool waarmee het bedrijf een contract heeft, zonder training op uw data, of uit het portaal zelf. |
| Reiskit | Reizen (04) | Leentelefoon en -laptop voor risicolanden, gewist bij terugkomst. Powerbank, VPN vóór vertrek geïnstalleerd, een nummer om te bellen als een apparaat kwijt of ingenomen is. |
| Controle van de online voetafdruk | Alles | Eens per jaar kijkt iemand wat het internet toont van elke bestuurder en diens gezin: huisadres, routines, scholen van de kinderen, gelekte wachtwoorden. |
| Bestuurstraining die dit meeneemt | Alles | NIS2 art. 20 en de Cyberbeveiligingswet vereisen training van het bestuur. Wij stellen voor de eigen blootstelling van de directie de eerste module te maken. |
Board members are named on the website, speak in public and sign the payments. Voice phishing is the second most common way in (Mandiant, 2026) and business email compromise cost US$3.0 billion in reported losses in 2025 (FBI IC3, 2026).Bestuurders staan met naam op de website, spreken in het openbaar en tekenen de betalingen. Telefonische phishing is de op één na meest voorkomende ingang (Mandiant, 2026) en business email compromise kostte in 2025 US$3,0 miljard aan gemelde schade (FBI IC3, 2026).
A payment that cannot be recalled, a board pack in the wrong hands, inside information on the street, or a private mailbox used to reset every other account.Een betaling die niet terug te draaien is, vergaderstukken in verkeerde handen, voorwetenschap op straat, of een privémailbox waarmee elk ander account wordt gereset.
Your voice stays public and your family stays online. With a security key on private mail, a call-back rule, the portal and a travel kit, a hit becomes rarer and costs less.Uw stem blijft openbaar en uw gezin blijft online. Met een beveiligingssleutel op privémail, een terugbelregel, het portaal en een reiskit wordt een treffer zeldzamer en kost hij minder.
The CISO can offer the settings and the kit. Whether the board adopts them is a question for the chair, because the exposure is personal.De CISO kan de instellingen en de kit aanbieden. Of de directie ze overneemt, is een vraag voor de voorzitter, omdat de blootstelling persoonlijk is.
Board members with a security key on private mail · payment requests "from the top" that were called back, as a share of all such requests · board packs found outside the portal · board members who completed the training this year.Bestuurders met een beveiligingssleutel op privémail · betaalverzoeken "van de top" die zijn teruggebeld, als aandeel van alle zulke verzoeken · vergaderstukken aangetroffen buiten het portaal · bestuurders die dit jaar de training hebben afgerond.
“A board member's personal account, device, voice or likeness is abused to authorise a payment, obtain board material or reach company systems, which can lead to financial loss, disclosure of inside information and a notifiable incident.”“Het privéaccount, apparaat, de stem of het beeld van een bestuurder wordt misbruikt om een betaling goed te keuren, bestuursstukken te verkrijgen of bedrijfssystemen te bereiken, wat kan leiden tot financiële schade, het uitlekken van voorwetenschap en een meldplichtig incident.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | NIS2 names the board: management bodies approve and oversee the security measures, can be held liable, and are required to follow training (Art. 20). In the Netherlands this runs through the Cyberbeveiligingswet, in force since 15 August 2026, which includes the board training duty. | Ask whether their executives' accounts and payment approvals are covered by the same controls as yours. A supplier's finance team fooled by your "CEO" is still your loss. | A compromised board account or a fraudulent payment can count as a significant incident if it meets the thresholds. Early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | The management body bears the ultimate responsibility for ICT risk and its members keep their knowledge up to date, including through regular training (Art. 5). DORA has applied since 17 January 2025. | Ask how the supplier verifies payment and change requests that claim to come from senior staff, yours or theirs. | Classify promptly. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| GDPR / AVG | A board pack or a private mailbox usually contains personal data. A breach is notified to the Autoriteit Persoonsgegevens within 72 hours (Art. 33); the people affected are informed when the risk is high (Art. 34). | Not applicable to their report; applicable to the data of your staff in your mailbox. | Notify the AP within 72 hours; inform the people affected when the risk is high. |
| SOC 2 | The access criteria (CC6) cover who can reach the systems in scope. Board members' private accounts are outside the scope unless they reach those systems. | Check whether executive access and payment approval are inside the described system, or carved out. | A fraudulent payment approved through a process in scope will likely appear as an exception in the next report. |
| ISAE 3402 | The focus is financial reporting. Payment authorisation and segregation of duties are core general controls, and the call-back rule sits exactly there. | Ask whether the payment process tested includes verification of requests from senior staff. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | NIS2 noemt het bestuur: bestuursorganen keuren de beveiligingsmaatregelen goed en zien erop toe, kunnen aansprakelijk worden gesteld en zijn verplicht training te volgen (art. 20). In Nederland loopt dit via de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026, inclusief de trainingsplicht voor het bestuur. | Vraag of de accounts en betaalgoedkeuringen van hun bestuurders onder dezelfde maatregelen vallen als die van u. Een financiële afdeling van een leverancier die door uw "CEO" wordt misleid, is nog steeds uw schade. | Een gecompromitteerd bestuursaccount of een frauduleuze betaling kan als significant incident gelden als het de drempels haalt. Vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. |
| DORA | Het leidinggevend orgaan draagt de eindverantwoordelijkheid voor ICT-risico en zijn leden houden hun kennis op peil, onder meer met regelmatige training (art. 5). DORA geldt sinds 17 januari 2025. | Vraag hoe de leverancier betaal- en wijzigingsverzoeken controleert die van hoger management lijken te komen, dat van u of dat van hen. | Classificeer snel. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| AVG | Vergaderstukken of een privémailbox bevatten meestal persoonsgegevens. Een datalek meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens (art. 33); de betrokkenen informeert u als het risico hoog is (art. 34). | Niet van toepassing op hun rapport; wel op de gegevens van uw medewerkers in uw mailbox. | Meld binnen 72 uur bij de AP; informeer de betrokkenen als het risico hoog is. |
| SOC 2 | De toegangscriteria (CC6) gaan over wie de systemen binnen scope kan bereiken. Privéaccounts van bestuurders vallen buiten de scope, tenzij ze die systemen bereiken. | Controleer of toegang van bestuurders en betaalgoedkeuring binnen het beschreven systeem vallen, of erbuiten zijn gelaten. | Een frauduleuze betaling die via een proces binnen scope is goedgekeurd, komt waarschijnlijk als afwijking in het volgende rapport. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. Betaalautorisatie en functiescheiding zijn kernmaatregelen, en de terugbelregel zit precies daar. | Vraag of het geteste betaalproces de controle van verzoeken van hoger management omvat. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: NIS2 Art. 20 and 23, NCSC-NL on the Cyberbeveiligingswet (Aug 2026), DORA Art. 5 and 19 and RTS (EU) 2025/301 Art. 5, GDPR Art. 33 and 34, AI Act Art. 50 and 113, NCSC UK guidance for high-risk individuals (Dec 2023, reviewed May 2024), AIVD travel advice (Oct 2025), NCSC-NL on the road, FBI IC3 Annual Report 2025 (2026), Mandiant M-Trends 2026 (Mar 2026), Arup statement as reported by Dezeen (17 May 2024), Google Advanced Protection Program, Apple Lockdown Mode · October 2026.
Gecontroleerd tegen: NIS2 art. 20 en 23, NCSC over de Cyberbeveiligingswet (aug 2026), DORA art. 5 en 19 en RTS (EU) 2025/301 art. 5, AVG art. 33 en 34, AI-verordening art. 50 en 113, NCSC UK-richtlijn voor high-risk individuals (dec 2023, herzien mei 2024), AIVD-reisadvies (okt 2025), NCSC onderweg en op reis, FBI IC3-jaarrapport 2025 (2026), Mandiant M-Trends 2026 (mrt 2026), verklaring van Arup zoals gemeld door Dezeen (17 mei 2024), Google Advanced Protection Program, Apple Lockdown Mode · oktober 2026.