Moet u een factuur opnieuw betalen als een fraudeur zich voordeed als uw leverancier?

Ja, in de regel wel. Wie een factuur betaalt op een rekeningnummer dat een fraudeur per e-mail doorgaf, heeft volgens artikel 5.198 van het Burgerlijk Wetboek niet aan zijn leverancier betaald en blijft de factuur verschuldigd. De klant kan de schade alleen op de leverancier verhalen als hij een concrete fout van die leverancier bewijst. Het hof van beroep te Bergen bevestigde dat op 5 oktober 2026: een Franse vennootschap moest 34.553,76 euro een tweede keer betalen aan haar Belgische leverancier, met het schadebeding erbovenop, hoewel zij slachtoffer was van een perfect nagebootste e-mail. Dat de leverancier mogelijk gehackt was, volstond volgens het hof niet om hem een fout te verwijten.

In het kort:

• Het hof van beroep te Bergen veroordeelde op 5 oktober 2026 een klant die 34.553,76 euro op een Britse rekening van een fraudeur had gestort, om dat bedrag opnieuw aan de leverancier te betalen, met de wettelijke interest en een schadebeding van 1.901,84 euro.
• Zelfs als vaststaat dat de fraudeur via het computersysteem van de leverancier werkte, bewijst dat volgens het hof nog geen fout van die leverancier; de klant moet een concrete nalatigheid aantonen, en daarin slaagde hij niet.
• Een strafklacht in Frankrijk van 20 juni 2023 kon de burgerlijke zaak niet opschorten, omdat alleen een klacht de strafvordering nog niet op gang brengt.

De feiten

Een Belgische leverancier van bouw- en brandbeveiligingsmateriaal stuurde op 15 maart 2023 een pro-formafactuur aan een Franse klant. De afspraak was eenvoudig: de klant betaalt de dag van de afhaling. Op 9 mei 2023 liet een medewerkster van de leverancier per e-mail weten dat de bestelling vanaf maandag 15 mei klaar zou staan. Die ochtend om 10u17 kwam vanaf hetzelfde e-mailadres de bevestiging dat de goederen klaar waren.

Diezelfde dag om 17u38 kwam een tweede mail binnen, deze keer vanaf een adres dat op het echte leek maar op een ander domein eindigde: niet “f(…).be” maar “f(…)-be.com”. De mail vroeg de klant om de ontvangst te bevestigen van nieuwe bankgegevens: een rekening bij een bank in het Engelse graafschap Kent, met een Brits IBAN en een BIC van een bank in Londen. De klant antwoordde op 16 mei dat hij de nieuwe gegevens aan de boekhouding had doorgegeven. Op 23 mei volgde een herinnering vanaf het valse adres, met een opvallend informele aanhef (“Bonjour à toi”). De dag nadien bevestigde de klant dat de betaling was uitgevoerd.

Het geld kwam nooit bij de leverancier aan. Begin juni 2023 schreef de leverancier dat hij niet verantwoordelijk kon zijn en bood hij aan het materiaal toch zonder voorafbetaling vrij te geven, op voorwaarde dat de klant bevestigde dat de leverancier geen schuld trof en dat hij de factuur binnen dertig dagen zou betalen. De klant antwoordde op 5 juni 2023 dat hij zich ertoe verbond op de vervaldag te betalen, en voegde eraan toe dat hij in dat stadium niet wist of de leverancier dan wel hijzelf gehackt was. Betalen deed hij uiteindelijk niet.

De leverancier stuurde op 14 november 2023 een ingebrekestelling voor 45.172,65 euro in hoofdsom, interest en schadebeding, en dagvaardde op 25 januari 2024 voor de ondernemingsrechtbank Henegouwen, afdeling Doornik. Die rechtbank veroordeelde de klant bij verstek op 26 maart 2024 tot 34.553,76 euro in hoofdsom, de interest uit de wet betalingsachterstand en een forfaitaire vergoeding van 1.901,84 euro. De klant stelde hoger beroep in.

De beslissing

Het hof van beroep te Bergen bevestigde het vonnis op alle punten. Het behandelde drie vragen.

De vraag of de strafklacht de burgerlijke zaak opschort

De klant had op 20 juni 2023 in Frankrijk een strafklacht neergelegd en vroeg het hof te wachten op de uitkomst van dat onderzoek. Het hof weigerde. Artikel 4 van de Voorafgaande Titel van het Wetboek van Strafvordering schorst de burgerlijke vordering zolang niet definitief over de strafvordering is beslist, maar alleen wanneer er gevaar bestaat voor tegenstrijdige beslissingen. Die regel, bekend als “le criminel tient le civil en état”, is van openbare orde omdat het strafvonnis gezag van gewijsde heeft over de punten die beide zaken gemeen hebben. Het hof steunde daarvoor op het Hof van Cassatie (Cass. 19 maart 2001, S.00.0129.N; Cass. 3 april 2009, C.08.0111.N; Cass. 6 december 2012, C.11.0604.F).

De schorsing veronderstelt wel dat de strafvordering op gang is gebracht: door een gerechtelijk onderzoek op vordering van het parket, door een klacht met burgerlijke partijstelling of door een rechtstreekse dagvaarding (Cass. 16 mei 2003, C.01.0473.N). Een gewone klacht of een opsporingsonderzoek volstaat niet. Omdat de klant alleen een klacht kon voorleggen, was er volgens het hof niets om op te wachten.

De vordering tot betaling van de factuur en het verweer dat de leverancier gehackt was

De klant betwistte niet dat zijn betaling op de rekening van de fraudeur hem niet bevrijdde van zijn schuld aan de leverancier. Hij voerde wel aan dat de leverancier onvoorzichtig was geweest door zijn computersysteem onvoldoende te beveiligen, en wilde zijn schadevergoeding verrekenen met de factuur.

Het hof plaatste dat verweer onder de bewijsregels van Boek 8 van het Burgerlijk Wetboek: wie een aanspraak inroept, moet de feiten bewijzen die eraan ten grondslag liggen (artikel 8.4), met een redelijke mate van zekerheid (artikel 8.5), wat volgens de parlementaire voorbereiding geen zekerheid van honderd procent betekent maar een overtuiging die elke redelijke twijfel uitsluit (Parl.St. Kamer 2018-19, nr. 54-3349/001, p. 16). Bij twijfel verliest de partij die de bewijslast draagt.

De oorsprong van de fraude bleef onbepaald. Beide partijen legden een verklaring van hun IT-leverancier voor. Die van de klant (11 oktober 2023) beschreef een centrale antivirus, een EDR-oplossing en een beheerde firewall, en meldde geen inbraak op de werkposten. Die van de leverancier (27 september 2023) stelde dat niets abnormaals was vastgesteld, dat geen enkele andere klant een valse mail had ontvangen, en dat uit voorzorg een nieuwe antivirus was geïnstalleerd. De stelling van de klant dat zo’n perfect nagebootste mail alleen via een inbraak bij de leverancier kon zijn verstuurd, vond het hof nergens in de stukken bevestigd. Dat de leverancier in september 2023 zijn antivirus verving, bewees volgens het hof niet dat het systeem in mei 2023 gebrekkig was.

Het hof ging nog een stap verder. Zelfs als zou vaststaan dat de valse mails uit een inbraak bij de leverancier voortkwamen, dan nog zou dat op zich geen fout of nalatigheid van de leverancier aantonen. Zonder concrete elementen die een foutieve nalatigheid bewijzen, kon de leverancier niet aansprakelijk zijn. De veroordeling tot 34.553,76 euro bleef dus overeind.

De vordering tot betaling van het schadebeding uit de algemene voorwaarden

Artikel 8 van de algemene voorwaarden van de leverancier voorzag bij “juridisch ongerechtvaardigde” wanbetaling een verhoging van 15 procent van het factuurbedrag, met een minimum van 100 euro. De klant betwistte niet dat die voorwaarden deel uitmaakten van het contract, maar vond zijn wanbetaling gerechtvaardigd: hij was slachtoffer van fraude en had wel degelijk betaald, zij het op een valse rekening.

Het hof volgde hem niet. De klant had zich op 5 juni 2023 verbonden om op de vervaldag te betalen, zonder enig voorbehoud over een mogelijke verantwoordelijkheid van de leverancier, en terwijl hij zelf toegaf de oorsprong van de fraude niet te kennen. Bovendien hadden verschillende elementen hem tot waakzaamheid moeten aanzetten: het afwijkende e-mailadres, een rekening bij een Britse bank terwijl de leverancier geen enkele band met het Verenigd Koninkrijk heeft, een rekeningnummer dat niet overeenstemde met dat op de facturen en op de website, en de toon van de tweede mail. Tussen de ontvangst van de valse bankgegevens en de betaling lagen tien dagen; één telefoontje had volstaan. De wanbetaling was dus niet gerechtvaardigd en het schadebeding, door de leverancier zelf herleid tot 1.901,84 euro, was verschuldigd.

Juridische analyse en duiding

Waarom de regels over phishing en de bank hier niet helpen

De klant in Bergen betaalde zelf, met zijn eigen bankcodes, het bedrag dat hij wilde betalen, op het rekeningnummer dat hij zelf intikte. Juridisch is dat een toegestane betalingstransactie. De beschermingsregels van Boek VII van het Wetboek van economisch recht (WER), die de bank bij een niet-toegestane transactie tot onmiddellijke terugbetaling verplichten, gelden hier dus niet. Professor Steennot merkte dat al in 2021 op: factuurfraude en CEO-fraude vallen buiten dat regime omdat het slachtoffer zelf de opdracht gaf om een bedrag naar een welbepaalde rekening over te schrijven (R. Steennot, “Fraude in het betaalverkeer: waarom het slachtoffer in de kou kan blijven staan”, TPR 2021, afl. 2-3, 495, nr. 3). De regels over de aansprakelijkheid van de bank bij phishing, die wij op onze pagina over de bank bij phishing uitwerken, bieden een slachtoffer van factuurfraude dus geen uitkomst.

Ook de bank van de betaler gaat vrijuit. Artikel VII.55/2 WER bepaalt dat een betalingsopdracht die volgens het opgegeven IBAN is uitgevoerd, geacht wordt correct te zijn uitgevoerd. De naam “S.P.R.L. F.” naast een Brits rekeningnummer hoefde de bank in 2023 niet te controleren. Zoals we eerder analyseerden in onze blog over de vraag wie het risico draagt bij factuurfraude, wees de ondernemingsrechtbank te Leuven op 18 december 2025 om die reden een vordering tegen de bank af.

Sinds 9 oktober 2025 is dat landschap gedeeltelijk veranderd. Verordening (EU) 2024/886 over instantovermakingen verplicht de bank van de betaler sindsdien om vóór elke overschrijving in euro na te gaan of de naam van de begunstigde overeenstemt met het IBAN, en de betaler te waarschuwen bij een afwijking (artikel 5 quater van Verordening (EU) nr. 260/2012, zoals ingevoegd door de verordening van 2024). Wie de waarschuwing negeert en toch betaalt, draagt de gevolgen zelf. Voor de feiten in Bergen zou die naamcontrole evenwel weinig hebben uitgemaakt: de verordening geldt voor overmakingen in euro tussen betalingsdienstaanbieders die zich in de Europese Unie bevinden, en de rekening van de fraudeur stond bij een Britse bank. Precies de buitenlandse rekening die het hof als alarmsignaal aanmerkte, blijft dus ook vandaag buiten het bereik van de verplichte naamcontrole.

Is een gehackte leverancier nooit aansprakelijk? De tegenstem uit Brussel

De klant had een sterker argument dan het argument dat hij aanvoerde. Artikel 5.198 van het Burgerlijk Wetboek (BW) bevat de regel dat een betaling alleen bevrijdend is wanneer zij aan de schuldeiser gebeurt, of aan iemand die bevoegd is om voor hem te ontvangen. Wie aan een ander betaalt, betaalt twee keer: de klassieke spreuk “qui paie mal, paie deux fois”, die de rechtsleer nog altijd als uitgangspunt neemt (S. Stijns, S. De Rey en S. Declercq, Leerboek verbintenissenrecht. Boek 2, Brugge, die Keure, 2026, p. 127, nr. 144). Hetzelfde artikel maakt daarop een uitzondering: de betaling die te goeder trouw aan een schijnschuldeiser is gedaan, is wél bevrijdend. De vraag is dan of de klant de fraudeur redelijkerwijze als zijn leverancier mocht beschouwen, en volgens de meeste auteurs ook of de gewekte schijn aan de echte leverancier kan worden toegerekend (dezelfde auteurs, p. 129, nr. 147).

Die weg bewandelde de klant in Bergen niet: hij gaf uitdrukkelijk toe dat zijn betaling hem niet bevrijdde. De ondernemingsrechtbank te Brussel kreeg op 2 mei 2024 wel een beroep op de schijnschuldeiser voorgelegd en verwierp het, maar kwam toch tot een verdeling van de schade bij helften. Zoals we eerder analyseerden in onze blog over factuurfraude via een gehackte mailbox, rekende die rechtbank het de leverancier zwaar aan dat hij, ondanks zijn eigen IT-expertise, waarschuwingen over verdachte inlogpogingen en ongebruikelijke mailregels had genegeerd. De gehackte leverancier droeg daar de helft van 618.220,10 euro.

Spreken Bergen en Brussel elkaar tegen? Minder dan het lijkt. Beide rechters passen dezelfde maatstaf toe: de leverancier is alleen aansprakelijk als hij een fout beging, dat wil zeggen als hij niet handelde zoals een voorzichtig en redelijk ondernemer in dezelfde omstandigheden (voor feiten van vóór 1 januari 2025 artikel 1382 van het oud Burgerlijk Wetboek, vandaag artikel 6.6 BW). In Brussel lagen de bewijzen van die fout op tafel: genegeerde meldingen, een verwaarloosde mailbox. In Bergen lag er niets, behalve het vermoeden dat een perfect nagebootste mail wel ergens vandaan moest komen. Het hof zegt dan ook niet dat een hack nooit een fout oplevert; het zegt dat een hack op zich nog geen fout is. Dat onderscheid is juist. Een inbraak overkomt ook wie zijn systemen behoorlijk beveiligt, en de klant die schadevergoeding wil, moet aantonen wat de leverancier redelijkerwijze had moeten doen en niet deed.

Het zwakke punt zit elders: in de bewijspositie van de klant. Alles wat hij zou moeten bewijzen (de staat van de beveiliging, de logbestanden, de meldingen die de leverancier ontving), zit bij de leverancier. Artikel 8.4 BW legt alle partijen een medewerkingsplicht bij de bewijsvoering op en laat de rechter in uitzonderlijke omstandigheden de bewijslast omkeren wanneer de gewone verdeling kennelijk onredelijk zou zijn. Het hof heeft die mogelijkheid niet onderzocht, en de klant lijkt er ook niet om te hebben gevraagd. Wie in zo’n dossier verweer voert, doet er goed aan vóór de pleidooien de overlegging van de technische stukken van de leverancier te vorderen, in plaats van achteraf te betreuren dat de oorsprong van de fraude onbepaald bleef.

De belofte van 5 juni 2023 kostte de klant het schadebeding

De klant had na de ontdekking van de fraude één kans om zijn positie te vrijwaren, en hij liet ze liggen. Toen de leverancier op 5 juni 2023 aanbood het materiaal toch vrij te geven, op voorwaarde dat de klant bevestigde dat de leverancier geen schuld trof en binnen dertig dagen zou betalen, antwoordde de klant dat hij zich ertoe verbond op de vervaldag te betalen. Geen voorbehoud, geen verwijzing naar een mogelijke fout van de leverancier, hoewel hij in dezelfde mail toegaf niet te weten wie gehackt was.

Voor de hoofdsom maakte die belofte weinig uit: die was hoe dan ook verschuldigd. Voor het schadebeding was zij beslissend. Een schadebeding is een beding waarbij partijen vooraf een forfaitaire vergoeding afspreken voor het geval een van hen zijn verbintenis niet nakomt (artikel 5.88 BW). Het beding van de leverancier was alleen verschuldigd bij een “juridisch ongerechtvaardigde” wanbetaling. De klant probeerde daarin een ontsnappingsroute te vinden: wie betaalde en bedrogen werd, betaalt niet ongerechtvaardigd te laat. Het hof legde de lat anders. Rechtvaardiging veronderstelt dat de klant op het moment van de wanbetaling een ernstige reden had om in te houden. Wie eerst zonder voorbehoud belooft te betalen en nadien stilzwijgend niet betaalt, heeft die reden niet.

Daar komt de waakzaamheidstoets bovenop. Het hof somde vier signalen op die de klant hadden moeten alarmeren, en voegde er een vijfde aan toe: de tien dagen tussen de ontvangst van de nieuwe bankgegevens en de betaling, waarin één telefoontje had volstaan. Die opsomming leest als een checklist voor elke boekhouding die een wijziging van bankgegevens ontvangt. Zij toont ook hoe de rechter de eigen onvoorzichtigheid van het slachtoffer verrekent, zelfs wanneer de leverancier geen fout treft: niet in de hoofdsom, die staat vast, maar in de accessoria. De leverancier had zijn beding overigens al zelf herleid van 15 procent (ruim 5.000 euro) tot 1.901,84 euro, wat vermoedelijk verklaart waarom het hof zich niet over een matiging onder artikel 5.88, § 2 BW hoefde uit te spreken.

Wat betekent dit concreet?

Voor ondernemingen die een factuur betalen. Een wijziging van bankgegevens per e-mail is pas betrouwbaar nadat u ze via een ander kanaal hebt bevestigd: een telefoontje naar een nummer dat u al kende, nooit naar het nummer in de mail zelf. Controleer het domein van de afzender letter voor letter, vergelijk het rekeningnummer met dat op eerdere facturen en op de website, en wantrouw een rekening in een land waar uw leverancier niets te zoeken heeft. Betaalt u toch op een valse rekening, dan blijft u de factuur verschuldigd. Verbind u daarna nooit zonder voorbehoud tot betaling: wie een fout van de leverancier wil inroepen, moet dat voorbehoud vanaf de eerste mail maken. Twijfelt u of uw leverancier zelf steken heeft laten vallen, dan is het eerste wat wij voor u nagaan welke technische stukken u van hem kunt opvorderen en of een verrekening met de factuur haalbaar is.

Voor leveranciers van wie de identiteit werd misbruikt. Dit arrest is goed nieuws: u behoudt uw vordering op de klant en u hoeft niet te bewijzen dat uw systemen onaantastbaar waren. Maar laat het niet bij een verklaring van uw IT-leverancier dat “niets abnormaals” werd vastgesteld. Bewaar de logbestanden, documenteer welke beveiligingsmaatregelen in voege waren en welke meldingen u ontving, en waarschuw uw andere klanten meteen. Wie een waarschuwing negeert, zoals in de Brusselse zaak, verliest de helft. Doe ook geen toegevingen in de eerste mails na de fraude: de leverancier in Bergen bood een uitstel aan, maar koppelde dat terecht aan een erkenning van zijn eigen onschuld. Een goed opgesteld schadebeding in uw algemene voorwaarden zorgt er daarnaast voor dat de kosten van de inning niet bij u blijven liggen.

Voor wie in zo’n geschil procedeert. Een strafklacht is nuttig om de fraudeur op te sporen en soms om het geld te laten blokkeren, maar zij schorst de burgerlijke zaak niet. Pas wanneer het parket een gerechtelijk onderzoek vordert, u zich burgerlijke partij stelt bij de onderzoeksrechter of iemand rechtstreeks wordt gedagvaard, kan de rechter de zaak aanhouden. Een klacht in het buitenland verandert daar niets aan. Wie tijd wil winnen, kiest dus beter voor een klacht met burgerlijke partijstelling, en beseft dat die keuze ook kosten en een onderzoekstermijn meebrengt.

Veelgestelde vragen (FAQ)

Moet ik een factuur opnieuw betalen na fraude als ik al op een vals rekeningnummer heb betaald?

Ja. Een betaling is alleen bevrijdend wanneer zij bij de leverancier of zijn gemachtigde aankomt. Wie op de rekening van een fraudeur betaalt, blijft de factuur verschuldigd en moet opnieuw betalen, met de interest erbovenop. Hij kan het gestorte bedrag wel terugvorderen van de fraudeur, als die gevonden wordt, en in uitzonderlijke gevallen de schade verhalen op een leverancier die een concrete fout beging.

Is mijn leverancier aansprakelijk als zijn mailbox werd gehackt?

Niet automatisch. Volgens het hof van beroep te Bergen is een inbraak op zich nog geen fout: u moet aantonen dat de leverancier niet handelde zoals een voorzichtige onderneming, bijvoorbeeld omdat hij waarschuwingen over verdachte aanmeldingen negeerde of elementaire beveiliging miste. De ondernemingsrechtbank te Brussel legde in 2024 de helft van de schade bij een leverancier die zulke waarschuwingen wel had genegeerd. Alles hangt dus af van de concrete bewijzen.

Moet mijn bank mij terugbetalen bij factuurfraude?

In de regel niet. U gaf zelf de opdracht voor het bedrag en het rekeningnummer, zodat het om een toegestane betalingstransactie gaat; de terugbetalingsplicht van de bank bij phishing geldt dan niet. Sinds 9 oktober 2025 moet uw bank bij een overschrijving in euro binnen de Unie wel nagaan of de naam van de begunstigde bij het IBAN hoort en u waarschuwen bij een afwijking. Voor een rekening buiten de Unie, zoals in het Verenigd Koninkrijk, geldt die controle niet.

Kan ik de burgerlijke zaak laten uitstellen omdat ik een strafklacht heb ingediend?

Alleen als de strafvordering echt op gang is gebracht: door een gerechtelijk onderzoek, een klacht met burgerlijke partijstelling of een rechtstreekse dagvaarding, en alleen als er gevaar bestaat voor tegenstrijdige beslissingen. Een gewone klacht bij de politie of het parket, in België of in het buitenland, volstaat niet. De rechter mag dan gewoon over de factuur oordelen.

Conclusie

Het arrest van het hof van beroep te Bergen van 5 oktober 2026 bevestigt de harde lijn van het Belgische recht bij factuurfraude: de klant die op een valse rekening betaalt, betaalt twee keer, en hij kan de schade alleen afwentelen op een leverancier van wie hij een concrete fout bewijst. Dat de fraudeur de leverancier perfect nabootste, en zelfs dat hij mogelijk via diens systeem werkte, volstaat daarvoor niet. Wie na de fraude bovendien zonder voorbehoud belooft te betalen, verliest ook het verweer tegen het schadebeding.

---

ICT Rechtswijzer is het kennisplatform van het departement intellectuele eigendom, IT-recht, AI-recht, gegevensbescherming en mediarecht van Everest Advocaten, onder leiding van mr. Joris Deene. Onze advocaten begeleiden ondernemingen die slachtoffer werden van factuurfraude of CEO-fraude, zowel aan de kant van de klant die de schade wil verhalen als aan de kant van de leverancier wiens identiteit werd misbruikt, van de eerste reactie na de ontdekking tot de procedure voor de ondernemingsrechtbank.