Stemklonen bij vishing: van het Arup-deepfake-gesprek tot het familiecodewoord
Aan de telefoon gold iemands stem bijna als identiteitsbewijs. Goedkope stemkloon-tools hebben die aanname stil beëindigd. Een oplichter met enkele seconden audio — een podcastfragment, een antwoordapparaatbegroeting, een online geplaatste video — kan spraak produceren die familie, collega's en callcentermedewerkers niet betrouwbaar van het origineel kunnen onderscheiden. De techniek voedt vishing — voicephishing — en in 2026 zijn er gedocumenteerde zakelijke en familiale slachtoffers, plus onderzoek dat laat zien waarom menselijke luisteraars en sommige geautomatiseerde controles de vervalsingen missen.
Het videogesprek van 200 miljoen Hongkongse dollar
De zaak die stemklonering van curiositeit tot bestuursrisico maakte, speelde zich af in Hong Kong in januari 2024. Een financieel medewerker van een multinational ontving een bericht dat leek te komen van de Britse financieel directeur van het bedrijf, die een geheime transactie beschreef. Hij vermoedde phishing — tot hij deelnam aan een videovergadering waarin de CFO en verschillende herkenbare collega's in beeld verschenen. Volgens de politie van Hong Kong was elke deelnemer een deepfake. De medewerker deed 15 overschrijvingen met een totaal van 200 miljoen Hongkongse dollar — ongeveer 25,6 miljoen Amerikaanse dollar — naar vijf lokale bankrekeningen; de fraude kwam pas aan het licht toen hij het bij het hoofdkantoor nacheckte. Zo bracht senior superintendent Baron Chan het onder woorden:Tijdens de videogroepsbespreking bleek iedereen die hij zag nep te zijn.Het ingenieursbureau Arup werd later als slachtoffer geïdentificeerd en bevestigde het incident in mei 2024, met de mededeling dat het begin van het jaar de politie had gewaarschuwd en dat financiële stabiliteit, bedrijfsvoering en interne systemen niet waren aangetast. CIO Rob Greig merkte op dat aanvallen zoals factuurfraude, phishing, WhatsApp-stemspoofing en deepfakes sterk in verfijning waren toegenomen. De politie classificeerde de zaak als verkrijging van eigendom door bedrog; op dat moment waren geen arrestaties aangekondigd.
Familienood met een bekende stem
Dezelfde techniek werkt ook bij gewone huishoudens. De Amerikaanse FTC waarschuwde al in maart 2023: bij de klassieke kleindooltruk — een gesprek van een familielid dat een aanrijding heeft gehad en in de gevangenis zit — kan de beller nu een kloon zijn. Alles wat de oplichter nodig heeft, schreef de instantie, is een kort audiofragment van de stem van een familielid, uit online gepubliceerde content. Het advies van de FTC is procedureel: ophangen, de persoon terugbellen op een nummer waarvan je weet dat het van hem of haar is, het via een ander familielid controleren, en verzoeken om overschrijvingen, crypto of de aankoop van cadeaubonnen als waarschuwingssignalen behandelen. Europese gevallen laten hetzelfde patroon tegen andere soorten doelen zien. In Italië werd een oudere vrouw voor 30.000 € opgelicht door een gesprek met wat leek op de stem van haar dochter, meldde The Guardian in februari 2025. Diezelfde maand ontvingen Milanese aanklagers klachten van vooraanstaande zakenlieden — onder hen medewerkers van Giorgio Armani en Prada-voorzitter Patrizio Bertelli — nadat oplichters de stem van defensieminister Guido Crosetto hadden gekloond en hen belden, zogenaamd om losgeld voor ontvoerde journalisten in te zamelen, met een terugbetaling beloofd door de Bank van Italië. Ten minste één slachtoffer droeg in totaal 1 miljoen € over naar een rekening in Hong Kong.Waarom oren — en sommige controles — falen
Menselijke luisteraars zijn een zwakke verdedigingslinie. Pindrops rapport Voice Intelligence & Security 2025, gebaseerd op analyse van meer dan 1,2 miljard klantgesprekken, registreerde in 2024 een toename van meer dan 1.300 procent in deepfake-fraudepogingen bij contactcenters — van gemiddeld één poging per maand naar zeven per dag — plus een toename van 173 procent in gesprekken met synthetische stem tussen het eerste en laatste kwartaal van het jaar. Synthetische stemaanvallen op banken groeiden met 149 procent, en het rapport voorspelt dat contactcenters in 2025 te maken kunnen krijgen met fraudeblootstelling van zo'n 44,5 miljard dollar. Biometrische verificatie is ook geen wondermiddel: de politie van Hong Kong zei dat deepfakes ten minste 20 keer werden gebruikt in verwante fraude om gezichtsherkenning te omzeilen die paspoorthouders imiteerde. Stemgebaseerde controles hebben hetzelfde probleem: een kloon is een synthetische versie van het echte signaal, en korte telefoonaudio van lage kwaliteit maakt geautomatiseerde detectie moeilijker, niet makkelijker. Detectieleveranciers worden beter, maar de bellerskant van de race is ook geïndustrialiseerd, en het volume groeit — volgens Pindrops eigen cijfers — sneller dan de filters.Wat nog werkt
Gezien de grenzen van detectie zijn de verdedigingen die standhouden procedureel. Suggesties bij de FTC-waarschuwing omvatten familiewachtwoorden — een offline afgesproken zin die elk echt noodgesprek moet bevatten — en verificatievragen die alleen het echte familielid kon beantwoorden, al kunnen zulke details via sociale media uitlekken. Terugbeldiscipline op een bekend, onafhankelijk gekozen nummer blijft de betrouwbaarste stap, omdat die het kanaal van de aanvaller uit de keten haalt:- Spreek een familiewachtwoord af voor noodgevallen, en gebruik het.
- Leg op en bel terug op een nummer dat je al hebt — niet op een nummer dat de beller geeft.
- Beschouw urgentie, geheimhouding en ongebruikelijke betaalkanalen zoals overschrijvingen, crypto of cadeaubonnen als het kenmerk van de scam, niet als detail.
- Beperk de schone stemsamples die je publiceert in antwoordapparaatbegroetingen en openbare video's.