Cybersecurity voor expediteurs: tien maatregelen die je zelf kunt nemen

Een expediteur draait op mail, betalingen en een handvol cloudsystemen: Microsoft 365, een forwarding systeem zoals Scope of CargoWise, de bank en koppelingen met partners. Daar zit ook het risico. De meeste aanvallen beginnen niet met geavanceerde techniek, maar met een mail die net echt genoeg lijkt. Dit artikel zet tien maatregelen op een rij, in volgorde van wat het meeste oplevert, met voorbeelden uit de dagelijkse praktijk van een expeditiekantoor.

Kort samengevat:

• Tweestapsverificatie op elk systeem is de maatregel met het grootste effect. Volgens onderzoek van Microsoft verlaagt het de kans op een overgenomen account met 99,22 procent.
• Met DMARC op p=none kan iedereen mail versturen die van jouw domein lijkt te komen. Zet het na een periode van meten op quarantine of reject.
• Wijzigingen van bankgegevens altijd telefonisch controleren, via een nummer dat je al had.
• Offline backups en een incidentplan bepalen hoe snel je na een aanval weer kunt werken.

Waarom expediteurs een aantrekkelijk doelwit zijn

Een expeditiekantoor betaalt dagelijks facturen aan rederijen, luchtvaartmaatschappijen, truckers en agenten in het buitenland, vaak onder tijdsdruk en op basis van een mail. Dat maakt de sector gevoelig voor betalingsfraude via mail (business email compromise). De FBI ontving in 2024 21.442 meldingen van dit soort fraude, met een gemelde schade van ruim 2,77 miljard dollar. In het Data Breach Investigations Report 2025 van Verizon speelde ransomware een rol bij 44 procent van de onderzochte datalekken, en een menselijke handeling, zoals klikken of gegevens invullen, bij ongeveer 60 procent.

Drie scenario's die je in de praktijk tegenkomt:

• De vervalste agent. Een mail die van je vaste agent in Shanghai lijkt te komen, in dezelfde mailthread, met de mededeling dat de bank is gewijzigd. De volgende betaling gaat naar de fraudeur.
• De gewijzigde bankgegevens. Een factuur van een bekende vervoerder met een nieuw rekeningnummer in de bijlage. Alles klopt, behalve het IBAN.
• De nagemaakte inlogpagina. Een melding dat er een zending klaarstaat in Scope, CargoWise of Microsoft 365, met een link naar een pagina die er precies zo uitziet. Wie daar inlogt, geeft wachtwoord en soms ook de code weg.

1. Tweestapsverificatie op elk systeem

Zet tweestapsverificatie aan op Microsoft 365, het forwarding systeem, de bank, het boekhoudpakket en elk portaal van een rederij of luchtvaartmaatschappij. Vergeet de systemen niet die "toch in de cloud staan": juist die zijn vanaf elke plek op internet te bereiken. Microsoft mat in een onderzoek onder accounts van zijn klanten dat tweestapsverificatie de kans op een overgenomen account met 99,22 procent verlaagt, en met 98,56 procent bij accounts waarvan het wachtwoord al was uitgelekt.

Kies bij voorkeur een authenticator app of een passkey boven een sms. Let op: een nagemaakte inlogpagina kan ook een eenmalige code doorsturen. Passkeys en hardwaresleutels zijn daartegen bestand, omdat ze alleen werken op het echte domein. Blokkeer in Microsoft 365 verouderde inlogmethoden die tweestapsverificatie omzeilen.

2. DMARC van meten naar blokkeren

DMARC vertelt ontvangende mailservers wat ze moeten doen met mail die van jouw domein lijkt te komen maar niet door de controle komt. Met p=none doen ze niets: een vervalste mail uit naam van jouw kantoor komt gewoon aan bij je klanten en agenten.

Zo pak je het aan:

1. Voeg een rapportadres toe (rua=) zodat je ziet welke systemen namens jou mailen: je forwarding systeem, nieuwsbriefdienst, scanner of facturatiepakket.
2. Zorg dat al die bronnen in SPF staan en waar mogelijk met DKIM ondertekenen.
3. Ga na een paar weken meten naar p=quarantine en daarna naar p=reject. Doe hetzelfde voor subdomeinen (sp=).

Op internet.nl kun je je eigen domein gratis testen.

3. SPF strak en opgeruimd

SPF is de lijst van servers die namens jouw domein mogen mailen. Eindigt die lijst op ~all (softfail), dan wordt mail van een andere server alleen als verdacht gemarkeerd. Met -all geef je aan dat alle andere servers niet mogen. Haal ook diensten weg die je niet meer gebruikt: elke extra include is een extra partij die namens jou kan mailen, en SPF staat maximaal tien DNS opvragingen toe voordat de controle faalt.

4. Bankgegevens altijd telefonisch controleren

Dit is de goedkoopste maatregel met het meeste effect tegen betalingsfraude. Spreek af dat een nieuw of gewijzigd rekeningnummer pas wordt verwerkt na een telefoontje naar een nummer dat al bekend was, dus niet het nummer uit de mail of de factuur. Leg vast wie een wijziging mag doorvoeren en laat een tweede persoon meekijken bij grote of afwijkende betalingen. Een agent die zegt dat het spoed heeft, is juist een reden om te bellen.

5. Phishing leren herkennen

Techniek houdt niet alles tegen. Leer collega's waar ze op letten: een afzender die net anders gespeld is, een onverwachte inlogvraag, haast en een link naar een domein dat niet klopt. Houd het kort en regelmatig, bijvoorbeeld een korte sessie per kwartaal en af en toe een oefenmail. Maak melden makkelijk, bijvoorbeeld met een meldknop in Outlook, en reageer positief op elke melding, ook als iemand al geklikt heeft. Hoe sneller je het weet, hoe sneller je wachtwoorden kunt resetten.

6. Backups die een aanval overleven

Ransomware versleutelt alles wat bereikbaar is, ook backups op een gekoppelde schijf. Houd minstens één kopie offline of onveranderbaar (immutable), los van je gewone netwerk en accounts. Microsoft 365 en cloudsystemen bewaren data, maar dat is geen volledige backup van jouw mailboxen en bestanden. Test ook het terugzetten: een backup die je nooit hebt teruggezet, is een aanname.

7. Een incidentplan op papier

Bepaal vooraf wie wat doet als het misgaat. Wie belt de IT partner, de verzekeraar, de bank en eventueel de politie? Welke klanten en agenten moeten gewaarschuwd worden? Hoe werk je een paar dagen door zonder systemen, bijvoorbeeld met een lijst van lopende zendingen en contactgegevens op papier? Bewaar het plan ook buiten je eigen systemen, want bij ransomware kun je daar niet meer bij. Een datalek met persoonsgegevens meld je binnen 72 uur bij de Autoriteit Persoonsgegevens.

8. Apparaten en rechten op orde

Installeer updates automatisch, op laptops, telefoons en de firewall. Gebruik beveiligingssoftware die verdacht gedrag op apparaten detecteert en meldt. Geef medewerkers geen beheerdersrechten op hun eigen laptop, en gebruik voor beheer aparte accounts die niet voor mail en internet worden gebruikt.

9. Leveranciers en koppelingen beperken

Elke koppeling met je mail of systemen is een toegangsweg. Vraag bij elke leverancier welke rechten de koppeling heeft, of die alleen lezen zijn en tot welke mailboxen ze reiken. In Microsoft 365 kun je de toegang van een applicatie beperken tot specifieke mailboxen met Exchange application RBAC, bijvoorbeeld alleen de gedeelde mailboxen voor boekingen en offertes. Loop eens per jaar na welke apps toegang hebben in je Microsoft omgeving en trek in wat niet meer nodig is. Vraag leveranciers naar een verwerkersovereenkomst en een beschrijving van hun beveiliging.

10. Weet wat je verzekeraar vraagt

Wie een cyberverzekering afsluit of verlengt, krijgt doorgaans een vragenlijst. De onderwerpen die daarin terugkomen, zijn vaak de maatregelen hierboven: tweestapsverificatie op mail en toegang op afstand, offline backups die getest zijn, updates, beveiligingssoftware op apparaten, training van medewerkers en een incidentplan. Lees de polis op wat je moet doen bij een incident, zoals een meldtermijn of een vaste hulplijn die je eerst moet bellen. Een antwoord dat niet klopt met de werkelijkheid kan bij een schade tegen je werken.

Waar begin je?

Als je deze week maar drie dingen doet: zet tweestapsverificatie aan op elk systeem, spreek de belregel voor bankgegevens af en zet een DMARC rapportadres in je DNS. Daarmee pak je de drie scenario's hierboven direct aan. De rest plan je in de maanden daarna.

Hoe Logentic hiermee omgaat

Logentic leest voor expediteurs mail en documenten om dossiers voor te bereiden. Daarom geldt punt 9 ook voor ons. De koppeling met Microsoft 365 heeft alleen leesrechten, en een klant kan die met Exchange application RBAC beperken tot de mailboxen die nodig zijn. Dossiers en documenten staan in de Europese Unie, elke klant heeft een eigen gescheiden omgeving en de AI modellen trainen niet op klantdata. Alles wat we kunnen aantonen staat op onze pagina Beveiliging en gegevensbescherming.

Veelgestelde vragen

Is tweestapsverificatie genoeg tegen phishing?

Het houdt de meeste aanvallen tegen, maar niet alle. Een nagemaakte inlogpagina kan een eenmalige code direct doorsturen. Passkeys en hardwaresleutels zijn daartegen bestand. Combineer tweestapsverificatie daarom met training en een snelle meldroute.

Wat betekent DMARC p=none?

Dat ontvangende mailservers niets doen met mail die niet door de controle komt. Het is bedoeld om te meten. Zolang het zo staat, kan iemand anders mail versturen die van jouw domein lijkt te komen.

Is een cloudsysteem veiliger dan een eigen server?

De leverancier beveiligt het platform, maar het account blijft jouw verantwoordelijkheid. Een cloudsysteem is vanaf elke plek bereikbaar, dus een gestolen wachtwoord zonder tweestapsverificatie geeft direct toegang.

Bronnen

• Meyer e.a., Microsoft, How effective is multifactor authentication at deterring cyberattacks? (2023)
• FBI Internet Crime Complaint Center, Internet Crime Report 2024
• Verizon, Data Breach Investigations Report 2025
• Microsoft, DMARC instellen voor Microsoft 365
• Microsoft, Role Based Access Control for Applications in Exchange Online

Aanbevelingen

• Beveiliging en gegevensbescherming bij Logentic
• Wat is een expediteur?
• Tijdverlies bij expediteurs door documenten