Phishing bij een vzw – Welke stappen kan men zetten?
Phishing is een vorm van online oplichting waarbij criminelen via valse e-mails, sms’en, WhatsApp-berichten, QR-codes of telefoontjes proberen om inlogcodes, bankgegevens of persoonlijke informatie te stelen.
Cybercriminelen worden steeds geraffineerder. Ze sturen berichten die perfect lijken op communicatie van de bank, overheid of bekende diensten. De link leidt naar een nagemaakte website waar men nietsvermoedend gegevens invult. Of erger: men geeft via een valse app toegang tot de bankrekening.
Cybercriminelen plegen ook zeer geloofwaardige telefoontjes waardoor men denk dat je iemand van de bank aan de lijn hebt en voor je beseft dat het oplichting betreft, deel je gegevens ben je geld kwijt.
Ook bestuurders van vzw’s kunnen in de val trappen. Bijgevolg kunnen ook vzw’s slachtoffer worden van phishing en geld verliezen aan criminelen.
Phishing waarbij men geld verliest, kan iedereen overkomen, ook de meest voorzichtige bestuurder van een vzw. Het belangrijkste is dat je weet welke stappen je moet zetten als het toch gebeurt – en dat je er als bestuursorgaan samen de schouders onder zet.
Welke verzekeringen komen tussen?
De familiale verzekering?
Veel mensen denken spontaan aan de familiale verzekering, maar die biedt hier geen soelaas. Een familiale verzekering dekt de burgerlijke aansprakelijkheid voor schade die men in het privéleven toebrengt aan derden. Een bestuurder die handelt in het kader van de vzw bevindt zich niet in de privésfeer, en de vzw zelf is geen "derde". De familiale verzekering zal niet tussenkomen.
De bestuurdersaansprakelijkheidsverzekering?
Een bestuurdersaansprakelijkheidsverzekering beschermt het privévermogen van bestuurders wanneer zij aansprakelijk worden gesteld voor bestuursfouten. Het probleem is dat deze verzekering pas in beeld komt als de vzw een formele claim indient tegen haar eigen bestuurder. Dat is precies wat de meeste verenigingen willen vermijden: een juridisch conflict binnen het eigen bestuur.
Bovendien bevatten bestuurdersaansprakelijkheidspolissen standaard uitsluitingen voor opzettelijke handelingen en fraude. Hoewel het slachtoffer worden van phishing geen opzet is, kunnen verzekeraars discussiëren over de vraag of er sprake is van een "zware fout". De uitkomst is dus onzeker en de weg ernaartoe potentieel schadelijk voor de interne verhoudingen.
Een cyberverzekering?
Wanneer een vzw een specifieke cyberverzekering heeft afgesloten, is dit waarschijnlijk de meest directe weg naar vergoeding. Een cyberverzekering dekt doorgaans schade die ontstaat doordat een dader via phishing toegang krijgt tot de systemen en zelf transacties uitvoert. Let wel: ook hier kunnen uitsluitingen gelden, bijvoorbeeld bij "grove nalatigheid". De polisvoorwaarden moeten dus goed gecontroleerd worden.
De kostprijs van een cyberverzekering voor particulieren schommelt tussen 36 en 156 euro per jaar, afhankelijk van de dekking. Voor vzw's en ondernemingen liggen de premies hoger en zijn ze afhankelijk van factoren zoals omzet en het beveiligingsniveau.
De bank aanspreken
Wat veel mensen niet weten, is dat de wet (de zogenaamde PSD2-richtlijn) een strenge terugbetalingsverplichting oplegt aan banken bij niet-toegestane transacties. Concreet betekent dit dat de bank het volledige bedrag onmiddellijk moet terugbetalen – uiterlijk tegen het einde van de volgende werkdag.
De bank kan enkel weigeren als zij kan bewijzen dat er sprake was van "grove nalatigheid" in hoofde van de klant. Die bewijslast ligt volledig bij de bank. En de rechtspraak is de laatste jaren behoorlijk streng en in het voordeel van klanten/verenigingen: het louter klikken op een link of invullen van gegevens op een valse website wordt vaak niet als grove nalatigheid beschouwd.
Het is aangeraden zo snel mogelijk een aangetekende brief met een formele ingebrekestelling en eis tot terugbetaling van het gestolen bedrag naar de bank te sturen. Bij weigering van de bank kan men terecht bij Ombudsfin, de ombudsdienst voor financiële geschillen, of juridische bijstand inschakelen.
Burgerlijke partij in het strafonderzoek
Wanneer men aangifte heeft gedaan bij de politie, kan men zich als vzw burgerlijke partij stellen in het strafonderzoek. Mochten de daders ooit worden gevat en veroordeeld, dan kan je via de rechtbank een schadevergoeding bekomen. De eerlijkheid gebiedt te zeggen dat de pakkans bij internationale cybercriminaliteit laag is, maar het kost weinig moeite en houdt alle opties open.
Hoe vermijd je interne conflicten?
De vraag "wie is verantwoordelijk?" kan als een splijtzwam werken binnen een vzw-bestuur. Toch hoeft dat niet. Hier zijn enkele suggesties om de interne sfeer te bewaren.
- Richt de pijlen samen naar buiten. Als het bestuur gezamenlijk de bank aanspreekt, verschuift de focus van schuldvragen naar oplossingen. Dat werkt verbindend in plaats van verdelend.
- Overweeg een vrijwillige regeling. De betrokken bestuurder kan, zonder formele procedure, aanbieden om een deel van de eventueel resterende schade te dragen. Dat is geen verplichting, maar het kan de lucht klaren en getuigt van verantwoordelijkheidszin.
- Verleen kwijting op de algemene vergadering. Na goedkeuring van de jaarrekening kan de algemene vergadering kwijting (décharge) verlenen aan de bestuurders. Dit betekent dat de vzw hen niet meer aansprakelijk kan stellen voor het gevoerde beleid in het afgelopen boekjaar. Het is een formele manier om de bladzijde om te slaan.
Stappenplan bij phishing
- Meld het incident onmiddellijk aan de bank en blokkeer de betrokken rekeningen en kaarten.
- Doe aangifte bij de politie en bewaar het PV-nummer.
- Stel de bank formeel in gebreke via een aangetekende brief en eis terugbetaling.
- Controleer uw verzekeringen: heeft de vzw een cyberverzekering? Meld het schadegeval.
- Stel je burgerlijke partij in het strafonderzoek.
- Schakel hulp in bij weigering: Ombudsfin of een advocaat.
- Evalueer intern en overweeg kwijting te verlenen om het dossier af te sluiten.
Preventie: beter voorkomen dan genezen
Tot slot enkele tips om te voorkomen dat jouw vzw slachtoffer wordt:
- Wijs iedereen in de vereniging op de gevaren en vraag heel voorzichtig te zijn.
- Wees wantrouwig bij onverwachte berichten die vragen om op een link te klikken of gegevens in te vullen, ook al lijken ze van jouw bank te komen.
- Controleer de afzender en het webadres altijd zorgvuldig. Banken vragen nooit via e-mail of sms om jouw volledige logingegevens.
- Gebruik tweefactorauthenticatie waar mogelijk en houd je software up-to-date.
- Spreek binnen het bestuur af wie toegang heeft tot de rekeningen en hoe grote betalingen worden geautoriseerd (bijvoorbeeld het vierogen-principe).
- Overweeg een cyberverzekering als extra vangnet.
