Stoïk waarschuwt voor piek tijdens hoogseizoen in e-mailfraude door lagere zomerbezetting en minder controle 

Tegelijkertijd ziet Stoïk dat het cyberrisico ook structureel toeneemt. Binnen Stoïks Europese verzekerde portfolio kwam de totale schadeclaimfrequentie in 2025 uit op 10,56 procent, tegenover 3,87 procent in 2023.*

Maar hoe zien dit soort aanvallen in de zomermaanden er in de praktijk uit? Robert Spaan, Country Manager Nederland bij Stoïk, geeft drie voorbeelden:

1. Dringend verzoek van ‘CEO’ wat resulteert in betaalfraude
Een bekend scenario in de zomermaanden: de vaste contactpersoon van de finance-afdeling is met vakantie, een collega neemt over, en een bericht dat van de CEO lijkt te komen vraagt om met spoed een bedrag van tienduizenden euro’s over te boeken. Beslissers zijn niet bereikbaar en door de druk om snel te handelen wordt de betaling snel gedaan.

2. De leverancier wijzigt de bankgegevens, met factuurfraude als gevolg
Er komt een overtuigende e-mail binnen (het juiste logo, echte contactnaam, professionele taal) met het bericht dat een vaste leverancier is overgestapt op een nieuw bankrekeningnummer. De verantwoordelijke inkoper is met verlof en een vervanger verwerkt of bevestigt het nieuwe IBAN. Pas weken later, wanneer de leverancier om betaling vraagt, komt de fraude aan het licht. Dit is allesbehalve een incident op zichzelf: uit data van Stoïk blijkt dat 98 procent van de fraudegevallen binnen bedrijven via e-mail plaatsvindt. Inmiddels heeft 60 procent van alle cyberclaims te maken met fraude of BEC (Business Email Compromise), met gemiddelde kosten van €54.876 per geval.

3. Vertraagde inbreuk door inloggen vanaf een vakantieadres
Werken op afstand vanaf vakantiebestemmingen vergroot de blootstelling aan cyberrisico’s. Op een hybride werkdag logt een medewerker in via de wifi van een hotel, waarna malware het apparaat besmet en inloggegevens steelt. Maanden later ontdekt een IT-collega dat er al weken een onbekende sessie actief is die data kopieert en communicatie onderschept, met schadeclaims van klanten, partners en leveranciers als gevolg.

Wat te doen voordat mensen met vakantie gaan
Stoïk raadt bedrijven aan om drie basismaatregelen te treffen voordat de bezetting in de zomer terugloopt:

1. Dwing strikte verificatie en alertheid op phishing af: phishingmails over dringende facturen, boekingsbevestigingen of accountmeldingen pieken in juli en augustus. Herinner teams eraan om nooit op onverwachte links of bijlagen te klikken en om verdachte verzoeken altijd te verifiëren via een tweede, veilig kanaal.

2. Beveilig toegang op afstand en via (persoonlijke) apparaten: medewerkers die op afstand werken, moeten nooit openbare hotel- of luchthaven-wifi gebruiken zonder VPN, en actieve multi-factor authenticatie (MFA) op alle accounts. Beperk bovendien toegang via onbeveiligde privé-apparaten. Bedrijfsapps en e-mail horen alleen toegankelijk te zijn via beheerde zakelijke apparaten of via een veilige setup met schermvergrendeling.

3. Maak heldere afspraken over de waarneming en respons bij incidenten: leg vóór de vakantieperiode duidelijk vast wie verantwoordelijk is als er een cyberincident plaatsvindt. Controleer daarnaast gebruikersrechten, zodat roulerende collega’s of tijdelijke vervanging alleen toegang hebben tot de tools die nodig zijn om hun werk te doen.

“Al meerdere jaren zien we dat aanvallers zich aanpassen aan het werkritme van organisaties. Juli en augustus zijn daarom een kwetsbare periode, waarin e-mailgerelateerde incidenten goed zijn voor 69 procent van alle cyberincidenten in de zomer”, zegt Robert Spaan. “Als normale workflows in de zomer wegvallen, misbruiken cybercriminelen actief bestaande zwakke plekken en is menselijk bewustzijn onze belangrijkste factor. Maar je kunt niet verwachten dat medewerkers alles signaleren als teams op minimale bezetting draaien. Juist daarom zijn strikte, offline verificatieroutines zo belangrijk. Uiteindelijk heeft menselijke waakzaamheid een continue ondersteuning nodig. Omdat e-mailgerelateerde fraude zo vaak voorkomt, is een integrale 360-gradenaanpak nodig. Onze rol als partner is om ervoor te zorgen dat risicobeperking niet stopt bij een polis. Het begint met actieve verdediging, bijvoorbeeld door geautomatiseerde e-mailscreening en Managed Detection & Response (MDR) te combineren met verzekeringsdekking. Zo hebben bedrijven een actieve, doorlopende verdediging die afwijkingen oppikt voordat ze escaleren.”

Download het volledige Cyber Claims Report 2025 hier.