Zo controleer je dat overboekingsgegevens niet vervalst zijn
Een verzonnen IBAN faalt meestal op de ingebouwde mod-97-controle. Het echte risico is vandaag echter factuurfraude: een echte IBAN die toebehoort aan een crimineel die de factuur heeft onderschept. Zo verifieer je betaalgegevens vóór je verstuurt.
Hoe een IBAN is opgebouwd
Het International Bank Account Number is gedefinieerd in ISO 13616. Het begint met de tweeletterige ISO-landcode, twee controlecijfers en de landspecifieke BBAN — bijvoorbeeld 18 tekens in Nederland, 20 in Frankrijk, 22 in Duitsland. De totale lengte staat per land vast.
De twee controlecijfers gebruiken het mod-97-algoritme: verplaats land en controlecijfers naar het einde, vervang letters door cijfers (A=10 … Z=35) en bereken de gehele deling modulo 97. Een geldige IBAN levert altijd 1. Daarom voldoet een willekeurige tekenreeks of een verwisseld cijfer bijna nooit. Het bewijst niet dat de rekening bestaat — alleen dat het nummer formeel klopt.
De BIC (SWIFT-code) identificeert de bank zelf: 8 of 11 tekens voor instelling, land en filiaal. Binnen SEPA is de BIC sinds 2016 optioneel — de IBAN volstaat — maar voor SWIFT-overschrijvingen buiten SEPA blijft de BIC vereist.
De echte dreiging: factuuromleiding
De fraude die Europese bedrijven jaarlijks honderden miljoenen euro kost is geen foute IBAN, maar Business Email Compromise (BEC), ook wel factuurfraude genoemd. Aanvallers krijgen toegang tot een mailbox (van de betaler of van de leverancier), houden openstaande facturen in de gaten en sturen een look-alike bericht waarin de leverancier zogenaamd 'gewijzigde bankgegevens' meldt. De nieuwe IBAN is echt en doorstaat elke controle — hij is alleen van de fraudeur.
Het patroon is te herkennen: het mailtje komt laat in het proces, vaak in de laatste week vóór een grote betaling. Het domein lijkt sprekend (een extra letter, .com in plaats van .nl). De toon dringt aan op haast en vraagt niet te bellen maar per mail te antwoorden. Vaak staat de echte medewerker wel in CC maar ontvangt het bericht nooit.
Verificatie-checklist
Gebruik deze zes stappen vóór elke eerste overboeking en bij elke wijziging van bankgegevens:
1. IBAN moet de mod-97-controle doorstaan — de meeste bank-apps doen dit automatisch. Bij falen: direct weigeren.
2. Naam van de rekeninghouder verifiëren via Verification of Payee waar beschikbaar (in de eurozone verplicht voor euro-overschrijvingen sinds 9 oktober 2025).
3. Bij gewijzigde bankgegevens: bel de leverancier op een telefoonnummer dat je onafhankelijk hebt gevonden — website, oude factuur, nooit het nummer in de nieuwe mail.
4. Voor grote bedragen eerst een kleine testoverboeking sturen en de ontvangst laten bevestigen.
5. Bekijk het afzenderdomein teken voor teken en houd cursor boven links om de echte URL te zien.
6. Keur nooit een wijziging van bankgegevens goed op basis van één mail alleen — voer een vier-ogen-principe in.
Frequently asked questions
- Een controlecijfer volgens ISO 13616: schuif IBAN, vervang letters door cijfers, neem de gehele deling modulo 97. Een geldige IBAN levert altijd 1. Willekeurige of verkeerd getypte IBAN's voldoen bijna nooit — een goedkope eerste filter.
Related on Banks.eu
Informational purpose only. Rates and product terms change frequently — always verify with the issuing institution before opening an account. Some links may be affiliate or partner links and never influence editorial rankings.
