Hoe we B2B-kopers verifiëren: een vermoedelijke E.Leclerc-identiteitsfraude

Ik ben Leo, verkoopspecialist bij ClipClop eBike. De meeste ochtenden zien er hetzelfde uit: een paar groothandels-e-mails, een catalogusaanvraag, iemand die vraagt naar MOQ en FOB-prijzen. Dat is het normale werk voor een OEM-fabriek die overzee verkoopt.

Toen kwam er een aanvraag binnen die er bijna te netjes uitzag.

De afzender gebruikte de naam Jeandis SAS en stelde zich voor als plaatsvervangend inkoopmanager van JEANDIS SA, een bevoorradingscentrum gekoppeld aan de E.Leclerc-winkels in Marmande, Frankrijk. Ze vroegen om een catalogus en een prijslijst. Het bericht bevatte een Frans telefoonnummer, een adres in Marmande, een link naar de E.Leclerc-site en een verzorgde handtekening.

Een bekende Europese retailer. Een bedrijf dat bestaat. Een echt straatadres. Een verzoek dat klinkt als inkoop. Niets karikaturaal nep.

Daarom is dit soort e-mail moeilijk. Het bedrijf in de handtekening kan echt zijn. De persoon die naar je schrijft is mogelijk nog steeds onverifieerd.

Ik heb de lead niet gesloten. Ik heb het ook niet als gekwalificeerd behandeld. Ik heb het uit elkaar genomen.

Eerst heb ik het bedrijf gecontroleerd, niet de e-mail.

Frankrijk’s officiële bedrijvengids vermeldt JEANDIS SA als een actief bedrijf onder SIREN 383 339 595, opgericht op 23 oktober 1991. De geregistreerde hoofdzetel is aan RN113 Avenue François Mitterrand, 47200 Marmande. De hoofdactiviteit is hypermarkten. Dezelfde registers tonen een E.Leclerc Express locatie in Marmande onder dat bedrijf.

Klopt. Juridische entiteit is echt, dat deel staat.

Wat het niet bewijst is autoriteit. Een registratie vertelt me dat een bedrijf bestaat. Het vertelt me niet dat de persoon in mijn inbox daar werkt, e-bikes kan inkopen, of dat e-mailadres mag gebruiken. Die scheiding — bedrijf versus contact — is het hele punt van koperverificatie.

Toen keek ik naar het domein: jp@achat-jeandis.com. Ik kon die domeinnaam niet onafhankelijk koppelen aan JEANDIS SA op basis van officiële bedrijfsinformatie. De headers toonden aan dat het bericht werd verzonden vanaf achat-jeandis.com. SPF was geslaagd voor dat verzenddomein. Er was ook een DKIM-handtekening van een e-mailbeveiligingsprovider.

Op een drukke verkoopdag voelen die groene vinkjes geruststellend. Dat zou niet zo mogen zijn.

SPF en DKIM beantwoorden een smalle vraag: is dit bericht geautoriseerd door het domein dat het verstuurde? Ze beantwoorden niet de vraag die een fabriek daadwerkelijk nodig heeft: behoort dat domein toe aan het bedrijf dat in de handtekening staat? Een domein kan geauthenticeerde mail versturen en toch geen bewezen link hebben met de retailer die het gebruikt. Authenticatie valideert infrastructuur. Het is geen inkoopbadge.

We vonden ook openbare discussie over E.Leclerc / JEANDIS impersonation-activiteit waarbij hetzelfde domein betrokken was. Dat is geen gerechtelijke vaststelling. Het verhoogde nog steeds het risiconiveau. Zodra een domein in een impersonation-context wordt besproken, stop met aannemen en begin met verifiëren.

De formulering voegde nog een laag toe. De afzender wilde nieuwe producten en een catalogus. Geen modellen, hoeveelheden, jaarvolume, leveringsvenster, compliance-notities of inkoopproces. Een brede eerste e-mail is geen bewijs van fraude. Echte kopers beginnen vaak breed. Een grote retailer moet toch specifiek worden voordat de lead als serieus wordt behandeld.

Ik heb onze volledige prijslijst niet verstuurd, geen bankgegevens gedeeld, geen contract opgesteld, geen gratis monster verzonden of een derde-partijvergoeding betaald. Ik heb geen inkooporder alleen op de e-mail geaccepteerd. Ik heb de aanvraag als niet-geverifieerd en hoog risico gemarkeerd.

Dat is het verschil tussen het verzamelen van leads en het kwalificeren ervan.

Het proces dat ik gebruik is eenvoudig.

Verifieer de juridische entiteit in een officieel register. Vertrouw niet op bestanden die de koper meestuurt.

Scheid het bedrijf van de persoon. Stel beide vragen: Bestaat dit bedrijf? Werkt deze persoon daar en heeft hij/zij autoriteit om te kopen?

Inspecteer het domein na de @. Een naam die het merk bevat is niet automatisch officieel.

Gebruik een kanaal dat je zelf hebt gevonden. Bel niet alleen het nummer in de verdachte e-mail. Zoek onafhankelijk officiële contacten op en vraag of die persoon en e-mail geautoriseerd zijn.

Test dan het commerciële verzoek. Een echt project omvat meestal specificaties, hoeveelheid, bestemming, compliancebehoeften, betalingsvoorwaarden en een benoemde eigenaar.

Geen enkel waarschuwingssignaal is een oordeel. Het risico stijgt wanneer er meerdere tegelijk voorkomen: een echt bedrijf met een onbekend domein; een catalogusverzoek zonder hoeveelheid; urgentie zonder proces; gratis monsters vóór kwalificatie; een verzoek om te betalen aan een onbekende derde partij; een plotselinge wijziging van rekeningnummer; een medewerker die niet onafhankelijk kan worden bevestigd.

Verwerp niet elke ongewone e-mail. Verhoog de verificatie naarmate het risico stijgt.

Binnen ons team houd ik één regel aan: verifieer de koper voordat je de deal optimaliseert.

Verkoopteams bewegen snel — bedrijf, product, prijs, MOQ, betaling. Een andere laag staat daarvoor: identiteit, autoriteit, commerciële intentie. Pas daarna moet een fabriek praten over samples, POs en geld.

Deze zaak bewijst niet dat een genoemd individu een misdrijf heeft gepleegd.

Wat het wel laat zien is beperkter. JEANDIS SA is een echt Frans bedrijf met een gedocumenteerde E.Leclerc-aanwezigheid in Marmande. De aanvraag gebruikte achat-jeandis.com en doorstond SPF voor dat domein. In openbare berichtgeving is het risico op impersonatie rond hetzelfde domein besproken. De identiteit achter de e-mail kon niet als geverifieerd worden beschouwd.

Dat is de standaard die ik wil dat andere leveranciers gebruiken: onafhankelijke verificatie, geen paniek en geen blind vertrouwen.

Voordat je gevoelige commerciële informatie deelt, stel de saaie vragen: Wie is het bedrijf? Wie is de persoon? Werkt diegene daar? Is het domein daadwerkelijk aan het bedrijf gekoppeld? Is het verzoek specifiek? Kun je dit via een kanaal dat je zelf hebt gevonden bevestigen?

De meest overtuigende business e-mails zijn niet altijd de veiligste. Een echte bedrijfsnaam, een echt adres, een nette handtekening en geauthenticeerde mail kunnen naast een identiteit staan die nog steeds niet geverifieerd is. Een paar minuten checken kan een fabriek een veel groter verlies besparen.

Vrijwaring
Dit artikel is gebaseerd op een groothandelsvraag die is ontvangen door ClipClop eBike en op publiekelijk beschikbare bedrijfs- en beveiligingsinformatie. Persoonlijke details zijn weggelaten of gegeneraliseerd. Dit is geen juridische vaststelling of een strafrechtelijke aantijging tegen een individu of bedrijf.