Los mayores ciberataques en Bélgica (2020-2026)

En resumen: Los mayores ciberataques registrados en Bélgica desde 2020 afectaron a una red de investigación, dos ciudades, el Ministerio de Defensa, hospitales, una cervecera, un operador de telecomunicaciones y el aeropuerto nacional. El más costoso fue el ataque de ransomware contra la ciudad de Amberes en diciembre de 2022, cuyo coste estimó la propia ciudad en unos 70 millones de euros. El ritmo sigue aumentando: el Centro de Ciberseguridad de Bélgica (CCB) recibió 588 notificaciones de incidentes entre enero y septiembre de 2026, más que en todo el año 2025. A continuación se presentan los doce casos mejor documentados, lo que tienen en común y lo que significan para las organizaciones belgas en el marco de la ley NIS2.

Resumen de los ataques más importantes

Cronología: los ataques que marcaron la historia de la ciberseguridad en Bélgica

2021: Belnet, Lieja y el Ministerio de Defensa

El 4 de mayo de 2021, un ataque DDoS saturó Belnet, la red financiada por el Gobierno que conecta las universidades, los institutos de investigación y las administraciones públicas belgas. Alrededor de 200 instituciones se quedaron sin conexión. Se cancelaron las reuniones de las comisiones del Parlamento federal y la página web de reservas para la vacunación contra la COVID-19 dejó de funcionar.

Un mes después, la ciudad de Lieja anunció que había sido víctima de «un ciberataque selectivo a gran escala». Los medios de comunicación belgas apuntaron al grupo de ransomware Ryuk, algo que la ciudad nunca confirmó. La recuperación de emergencia tardó seis semanas, y la recuperación total, seis meses, según declaró posteriormente el responsable de su departamento de TI a la RTBF.

El 16 de diciembre de 2021, unos atacantes aprovecharon la vulnerabilidad de Log4j para acceder a la red del Ministerio de Defensa. La red permaneció desconectada de Internet durante semanas. La ministra Ludivine Dedonder estimó posteriormente que el coste directo ascendió a 2,25 millones de euros. El ataque se atribuye a hackers chinos respaldados por el Estado.

2022: Vivalia y la ciudad de Amberes

A mediados de mayo de 2022, un programa de ransomware cifró los sistemas de Vivalia, un grupo formado por siete hospitales y seis centros residenciales. LockBit reivindicó el ataque y amenazó con publicar 400 GB de datos de pacientes y personal. Siete semanas después, los hospitales seguían sin poder acceder a todos los datos de sus pacientes.

El ataque que los belgas recuerdan mejor tuvo lugar en la noche del 5 al 6 de diciembre de 2022. El grupo de ransomware Play atacó el entorno informático de la ciudad de Amberes, gestionado por su organización de TIC Digipolis, y se hizo con más de 500 GB de datos. Casi todos los servicios municipales quedaron inoperativos. El ayuntamiento afirma que no pagó el rescate y, un mes después, estimó que el coste total, entre gastos y pérdida de ingresos, ascendía a unos 70 millones de euros. En junio de 2024, la comisión supervisora flamenca de datos personales dictó un veredicto contundente, según informó VRT NWS: faltaban actualizaciones de seguridad, la autenticación de dos factores era insuficiente, la red apenas estaba segmentada y prácticamente no existía un plan de recuperación.

2023 y 2024: Limburg.net y Duvel Moortgat

En diciembre de 2023, el grupo Medusa pirateó Limburg.net, la empresa de gestión de residuos de los municipios de Limburgo. Exigió 100 000 €. Limburg.net se negó a pagar y los datos se filtraron. El análisis definitivo realizado por EY en junio de 2024 contabilizó 292 734 víctimas, en su mayoría nombres y direcciones con números del registro nacional.

Durante la primera semana de marzo de 2024, se activó una alarma en Duvel Moortgat y se apagaron los servidores. La producción en la fábrica de cerveza de Puurs-Sint-Amands quedó paralizada hasta que se reanudó el embotellado el 7 de marzo. El comunicado público de la cervecera fue lacónico: había suficiente cerveza en stock para todos.

2025: la Administración valona, Orange Belgium y el Aeropuerto de Bruselas

En abril de 2025, unos intrusos accedieron a los sistemas informáticos del Service public de Wallonie, la administración de la Región Valona. El 17 de abril, esta decidió, junto con el CCB, cortar todas las conexiones a Internet. La interrupción fue lo suficientemente grave como para que, mediante un decreto de 15 de mayo de 2025, se ampliaran en 60 días los plazos legales establecidos en la legislación valona.

A finales de julio de 2025, Orange Belgium detectó la intrusión de un atacante en un sistema que albergaba datos de 850 000 cuentas de clientes: nombres, números de teléfono, números de tarjeta SIM, códigos PUK y planes de tarifas. La empresa hizo pública la filtración el 20 de agosto.

La tarde del 19 de septiembre de 2025, un ataque contra Collins Aerospace dejó fuera de servicio el software de facturación y embarque del Aeropuerto de Bruselas. El aeropuerto pidió a las compañías aéreas que cancelaran aproximadamente la mitad de los 276 vuelos de salida previstos para el lunes siguiente. La Agencia de Ciberseguridad de la UE (ENISA) confirmó que la causa había sido un ataque de ransomware.

2026: AZ Monica y un portal que abrió 270 puertas

El 13 de enero de 2026, el hospital AZ Monica de Amberes apagó todos los servidores de sus dos centros tras sufrir un ciberataque. Se cancelaron las intervenciones quirúrgicas, se envió a casa a unos 70 pacientes y se trasladó a siete a otros hospitales. El sistema de historias clínicas electrónicas volvió a funcionar tres semanas después.

En junio de 2026, la empresa de seguridad belga Secutec alertó sobre una campaña que llevaba en marcha desde febrero. Los atacantes habían utilizado ataques de fuerza bruta para acceder a cuentas del portal de socios de Fortinet y habían sustraído credenciales de cortafuegos de proveedores de servicios informáticos. Al menos 270 organizaciones belgas se vieron afectadas. Este patrón no es exclusivo de Bélgica, tal y como muestran nuestros resúmenes de los mayores ataques en los Países Bajos, Francia y Alemania.

Lo que tienen en común los casos belgas

• Los servicios públicos y la sanidad son los más afectados. Dos ciudades, una administración regional, un ministerio y dos grupos hospitalarios: los daños que han sufrido se miden en semanas de inactividad, no en el importe del rescate.
• El ransomware es la amenaza predominante, y el robo de datos viene de la mano. En Vivalia, Amberes y Limburg.net, los atacantes utilizaron los datos robados como medio de presión. El CCB contabilizó 80 ataques de ransomware en los primeros nueve meses de 2026.
• El método de acceso rara vez consiste en un ataque ingenioso. Cuando se conoce el punto de entrada, se trata de una vulnerabilidad sin parchear (Defence), datos de inicio de sesión robados (la campaña de Fortinet) o la falta de medidas básicas como la autenticación de dos factores (Amberes). Las denuncias de cuentas comprometidas presentadas ante el CCB pasaron de 72 en 2024 a 144 en 2025 y a 156 en los primeros nueve meses de 2026.
• Los proveedores te hacen vulnerable. El Aeropuerto de Bruselas no fue objeto de un ataque en sí, sino que el ataque se dirigió contra su proveedor de software. En 2026, un portal de proveedores dejó expuestas cientos de redes belgas.

Qué hacen el CCB y Safeonweb

El Centro de Ciberseguridad de Bélgica (CCB) es la autoridad nacional en materia de ciberseguridad y dirige el equipo nacional de respuesta a incidentes. Se encarga de recibir las notificaciones de incidentes, supervisar el cumplimiento de la ley NIS2 y publicar «CyberFundamentals», un marco de medidas de seguridad por niveles. Las empresas pueden encontrar sus herramientas y el registro NIS2 en Safeonweb@Work.

Safeonweb es la plataforma pública. Cualquiera puede reenviar un mensaje sospechoso a [email protected]. En 2025, el CCB recibía una media de 27 000 mensajes de este tipo al día, y en marzo de 2026, ya eran más de 42 000. Miguel De Bruycker, del CCB, declaró a VRT NWS que la inteligencia artificial permite ahora a los delincuentes crear mensajes muy creíbles en muy poco tiempo.

El factor humano: dónde empieza realmente un ataque

Las víctimas belgas rara vez revelan cómo lograron acceder los atacantes, por lo que nadie puede afirmar con certeza que todos los casos mencionados anteriormente comenzaran con un correo electrónico de phishing. Las cifras sí que muestran dónde reside la presión: decenas de miles de mensajes de phishing al día, el doble de cuentas comprometidas que hace dos años y datos de acceso robados en el centro de la mayor campaña de 2026.

Ningún cortafuegos protege esa parte. Un empleado que reconozca una página de inicio de sesión falsa o una llamada del «servicio de asistencia técnica» detiene un ataque antes de que se convierta en un incidente. Nuestra descripción general de los tipos de ataques de phishing muestra cómo son esos mensajes hoy en día. Guardey entrena este reflejo mediante un reto gamificado de unos tres minutos cada semana, que incluye simulaciones de phishing.

Qué supone esto para las pymes belgas en el marco de la ley NIS2

Bélgica transponía la Directiva NIS2 dentro del plazo establecido. La ley de 26 de abril de 2024 está en vigor desde el 18 de octubre de 2024, siendo el CCB el organismo supervisor. Las organizaciones medianas y grandes de los sectores enumerados deben registrarse, notificar los incidentes significativos en un plazo de 24 y 72 horas y adoptar medidas de gestión de riesgos, entre las que se incluye la formación en ciberseguridad. La dirección debe realizar ella misma la formación y es responsable de su cumplimiento. Las multas pueden ascender hasta 10 millones de euros o el 2 % de la facturación mundial. Nuestra guía sobre la NIS2 explica el ámbito de aplicación, las obligaciones y los plazos.

Cuatro lecciones que cualquier pyme belga puede poner en práctica este trimestre:

1. Activa la autenticación multifactorial y aplica los parches rápidamente. En Amberes se detectó una autenticación de dos factores deficiente, y un sistema sin parches sirvió de puerta de entrada al Ministerio de Defensa.
2. Plantea a tus proveedores la pregunta del Aeropuerto de Bruselas: ¿Quién tiene tus datos de acceso y el software esencial, y qué hacéis cuando estos dejan de funcionar?
3. Ensaya el proceso de recuperación. Duvel volvió a embotellar en cuestión de días, mientras que Lieja tardó seis meses. Consulta también cómo prevenir el ransomware.
4. Forma al personal cada semana, no una vez al año. Las sesiones de formación breves y periódicas, junto con las simulaciones, mantienen alta la atención y te proporcionan las pruebas que solicita un auditor.

Preguntas más frecuentes

¿Cuál fue el mayor ciberataque que se ha producido en Bélgica?

Por su coste, el ataque de ransomware contra la ciudad de Amberes en diciembre de 2022, cuyo coste estimó el ayuntamiento en unos 70 millones de euros. Por número de personas afectadas, la filtración de datos de Orange Belgium de 2025, que afectó a 850 000 cuentas de clientes. Por su alcance, el ataque DDoS contra Belnet de mayo de 2021, que dejó sin conexión a unas 200 instituciones a la vez.

¿Cuántos ciberataques se producen cada año en Bélgica?

El CCB recibió 372 notificaciones de incidentes en 2024, 556 en 2025 y 588 en los primeros nueve meses de 2026. Esas cifras corresponden únicamente a los incidentes que notifican las organizaciones.

¿Dónde se denuncia un ciberataque en Bélgica?

Las organizaciones sujetas a la ley NIS2 deben notificar cualquier incidente significativo a la CCB, con un aviso previo en un plazo de 24 horas. Los mensajes sospechosos pueden reenviarse a [email protected].

¿Se aplica la ley belga sobre la NIS2 a las pymes?

Se aplica a las organizaciones de los sectores enumerados que cuenten con al menos 50 empleados a tiempo completo, o cuya cifra de negocios y total del balance superen los 10 millones de euros. Encontrarás más detalles en nuestra guía sobre NIS2.