Les cyberattaques les plus importantes en Belgique (2020-2026)

En bref : les cyberattaques les plus importantes survenues en Belgique depuis 2020 ont touché un réseau de recherche, deux villes, le ministère de la Défense, des hôpitaux, un brasseur, un opérateur de télécommunications et l’aéroport national. La plus coûteuse a été l’attaque par ransomware contre la ville d’Anvers en décembre 2022, dont le coût a été estimé par la ville elle-même à environ 70 millions d’euros. Le rythme ne cesse de s’accélérer : le Centre pour la cybersécurité de Belgique (CCB) a reçu 588 signalements d’incidents entre janvier et septembre 2026, soit plus que sur l’ensemble de l’année 2025. Vous trouverez ci-dessous les douze cas les mieux documentés, leurs points communs et leurs implications pour les organisations belges au regard de la loi NIS2.

Aperçu des attaques les plus importantes

Chronologie : les attaques qui ont marqué l'histoire de la cybersécurité en Belgique

2021 : Belnet, Liège et le ministère de la Défense

Le 4 mai 2021, une attaque DDoS a saturé Belnet, le réseau financé par l'État qui relie les universités, les instituts de recherche et les administrations publiques belges. Environ 200 institutions ont perdu leur connexion. Les réunions des commissions au Parlement fédéral ont été annulées et le site de prise de rendez-vous pour la vaccination contre la COVID-19 a également cessé de fonctionner.

Un mois plus tard, la ville de Liège a annoncé avoir été victime d’une « cyberattaque ciblée de grande envergure ». Les médias belges ont pointé du doigt le groupe de ransomware Ryuk, ce que la ville n’a jamais confirmé. La restauration d’urgence a pris six semaines, et la restauration complète six mois, a déclaré par la suite le responsable de son service informatique à la RTBF.

Le 16 décembre 2021, des pirates ont exploité la faille Log4j pour s'introduire dans le réseau du ministère de la Défense. Le réseau a été coupé d'Internet pendant plusieurs semaines. La ministre Ludivine Dedonder a par la suite estimé le coût direct de cette attaque à 2,25 millions d'euros. L'attaque est attribuée à des pirates informatiques soutenus par l'État chinois.

2022 : Vivalia et la ville d'Anvers

À la mi-mai 2022, un ransomware a chiffré les systèmes de Vivalia, un groupe comprenant sept hôpitaux et six établissements d'hébergement pour personnes âgées. Le groupe LockBit a revendiqué cette attaque et menacé de publier 400 Go de données concernant les patients et le personnel. Sept semaines plus tard, les hôpitaux n'avaient toujours pas pu accéder à l'ensemble des données de leurs patients.

L'attaque dont les Belges se souviennent le mieux s'est produite dans la nuit du 5 au 6 décembre 2022. Le groupe de ransomware Play a frappé l'environnement informatique de la ville d'Anvers, géré par son organisme TIC Digipolis, et a réclamé plus de 500 Go de données. Presque tous les services municipaux ont été paralysés. La ville affirme ne pas avoir payé la rançon et, un mois plus tard, a estimé la facture à environ 70 millions d'euros en coûts et pertes de recettes. En juin 2024, la commission flamande de surveillance des données à caractère personnel a rendu un verdict sévère, rapporté par VRT NWS: mises à jour de sécurité manquantes, authentification à deux facteurs insuffisante, réseau à peine segmenté et plan de reprise quasi inexistant.

2023 et 2024 : Limburg.net et Duvel Moortgat

En décembre 2023, le groupe Medusa a piraté Limburg.net, la société de gestion des déchets des communes du Limbourg. Il a exigé 100 000 €. Limburg.net a refusé et les données ont été divulguées. L'analyse finale réalisée par EY en juin 2024 a recensé 292 734 victimes, dont il s'agissait principalement de noms et d'adresses accompagnés de numéros du registre national.

Au cours de la première semaine de mars 2024, une alarme s'est déclenchée chez Duvel Moortgat et les serveurs ont été mis hors tension. La production de la brasserie de Puurs-Sint-Amands a été interrompue jusqu'à la reprise de la mise en bouteille, le 7 mars. Le communiqué publié par la brasserie était laconique : il y avait suffisamment de bière en stock pour tout le monde.

2025 : l'administration wallonne, Orange Belgium et l'aéroport de Bruxelles

En avril 2025, des pirates ont pénétré dans les systèmes informatiques du Service public de Wallonie, l'administration de la Région wallonne. Le 17 avril, celle-ci a décidé, en concertation avec le CCB, de couper toutes les connexions Internet. La perturbation a été suffisamment grave pour qu'un décret du 15 mai 2025 prolonge de 60 jours les délais légaux prévus par la législation wallonne.

Fin juillet 2025, Orange Belgium a détecté un intrus dans un système contenant les données de 850 000 comptes clients : noms, numéros de téléphone, numéros de carte SIM, codes PUK et formules tarifaires. L'entreprise a rendu publique cette violation le 20 août.

Dans la soirée du 19 septembre 2025, une cyberattaque visant Collins Aerospace a paralysé les logiciels d'enregistrement et d'embarquement de l'aéroport de Bruxelles. L'aéroport a demandé aux compagnies aériennes d'annuler environ la moitié des 276 départs prévus pour le lundi suivant. L'agence européenne de cybersécurité ENISA a confirmé qu'un rançongiciel était à l'origine de l'incident.

2026 : AZ Monica et un portail qui a ouvert 270 portes

Le 13 janvier 2026, l'hôpital AZ Monica d'Anvers a mis hors service tous les serveurs de ses deux sites à la suite d'une cyberattaque. Les interventions chirurgicales ont été annulées, environ 70 patients ont été renvoyés chez eux et sept ont été transférés vers d'autres hôpitaux. Le dossier médical électronique a été rétabli trois semaines plus tard.

En juin 2026, la société de sécurité belge Secutec a tiré la sonnette d’alarme concernant une campagne en cours depuis février. Des pirates avaient procédé à des attaques par force brute contre des comptes du portail des partenaires de Fortinet et volé les identifiants d’accès aux pare-feu de prestataires de services informatiques. Au moins 270 organisations belges ont été touchées. Ce phénomène n’est pas propre à la Belgique, comme le montrent nos analyses des attaques les plus importantes aux Pays-Bas, en France et en Allemagne.

Ce que les affaires belges ont en commun

• Les services publics et le secteur de la santé sont les plus durement touchés. Deux villes, une administration régionale, un ministère et deux groupes hospitaliers : les dégâts subis se mesurent en semaines d’indisponibilité, et non en rançon.
• Les ransomwares sont omniprésents, et le vol de données va de pair. Chez Vivalia, à Anvers et sur Limburg.net, les pirates ont utilisé les données volées comme moyen de pression. Le CCB a recensé 80 attaques par ransomware au cours des neuf premiers mois de 2026.
• L'intrusion résulte rarement d'un piratage particulièrement ingénieux. Lorsque le point d'entrée est connu, il s'agit d'une vulnérabilité non corrigée (Defence), d'identifiants volés (campagne Fortinet) ou de l'absence de mesures élémentaires telles que l'authentification à deux facteurs (Anvers). Le nombre de signalements de comptes compromis adressés au CCB est passé de 72 en 2024 à 144 en 2025, puis à 156 au cours des neuf premiers mois de 2026.
• Les fournisseurs vous exposent à des risques. Ce n'est pas l'aéroport de Bruxelles qui a été attaqué, mais son fournisseur de logiciels. En 2026, un portail fournisseur a exposé des centaines de réseaux belges.

Les missions du CCB et de Safeonweb

Le Centre pour la cybersécurité de Belgique (CCB) est l'autorité nationale en matière de cybersécurité et gère l'équipe nationale d'intervention en cas d'incident. Il reçoit les signalements d'incidents, veille au respect de la loi NIS2 et publie « CyberFundamentals », un cadre de mesures de sécurité classées par niveaux. Les entreprises peuvent accéder à ses outils et à l'enregistrement NIS2 sur Safeonweb@Work.

Safeonweb est le portail accessible au grand public. Tout le monde peut signaler un message suspect à l'adresse [email protected]. En 2025, le CCB en recevait en moyenne 27 000 par jour, et en mars 2026, ce chiffre dépassait les 42 000. Miguel De Bruycker, du CCB, a déclaré à VRT NWS que l'intelligence artificielle permet désormais aux criminels de produire des messages très crédibles en un clin d'œil.

Le facteur humain : là où une attaque commence réellement

Les victimes belges révèlent rarement comment les pirates ont réussi à s'introduire dans leurs systèmes ; personne ne peut donc affirmer avec certitude que tous les cas cités ci-dessus ont débuté par un e-mail de hameçonnage. Les chiffres montrent toutefois clairement où se situe la menace : des dizaines de milliers de messages de hameçonnage par jour, deux fois plus de comptes piratés qu'il y a deux ans et des identifiants volés au cœur de la plus grande campagne de 2026.

Aucun pare-feu ne couvre cet aspect. Un collaborateur capable de reconnaître une fausse page de connexion ou un appel provenant soi-disant du « service d'assistance » permet de déjouer une attaque avant qu'elle ne se transforme en incident. Notre aperçu des différents types d'attaques de hameçonnage montre à quoi ressemblent ces messages aujourd'hui. Guardey permet d'entraîner ce réflexe grâce à un défi ludique d'environ trois minutes chaque semaine, comprenant des simulations d'hameçonnage.

Ce que cela implique pour les PME belges au regard de la loi NIS2

La Belgique a transposé la directive NIS2 dans les délais. La loi du 26 avril 2024 est en vigueur depuis le 18 octobre 2024, sous la supervision de la CCB. Les organisations de taille moyenne et grande appartenant aux secteurs concernés doivent s’enregistrer, signaler les incidents significatifs dans un délai de 24 et 72 heures et mettre en place des mesures de gestion des risques, notamment des formations en cybersécurité. La direction doit elle-même suivre ces formations et en assume la responsabilité. Les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial. Notre guide sur la directive NIS2 explique le champ d’application, les obligations et les délais.

Quatre enseignements que toute PME belge peut mettre en pratique ce trimestre :

1. Activez l'authentification multifactorielle et appliquez rapidement les correctifs. Une authentification à deux facteurs insuffisante a été mise en évidence à Anvers : un système non mis à jour a permis à des pirates de s'introduire dans le ministère de la Défense.
2. Posez à vos fournisseurs la question de l'aéroport de Bruxelles. Qui détient vos identifiants de connexion et vos logiciels essentiels, et que faites-vous en cas de panne ?
3. Entraînez-vous à la reprise d'activité. Duvel a pu reprendre la mise en bouteille en quelques jours, tandis que Liège a eu besoin de six mois. Découvrez également comment prévenir les attaques par ransomware.
4. Formez vos collaborateurs chaque semaine, et non pas une fois par an. Des formations courtes et régulières, ainsi que des simulations, permettent de maintenir un niveau d'attention élevé et vous fournissent les éléments de preuve demandés par un auditeur.

Questions fréquentes

Quelle a été la plus grande cyberattaque en Belgique ?

En termes de coût, l'attaque par ransomware contre la ville d'Anvers en décembre 2022, dont le montant a été estimé par la municipalité à environ 70 millions d'euros. En termes de nombre de personnes touchées, la violation de données chez Orange Belgium en 2025, qui a concerné 850 000 comptes clients. En termes d'ampleur, l'attaque DDoS contre Belnet en mai 2021, qui a privé d'accès environ 200 institutions d'un seul coup.

Combien y a-t-il de cyberattaques chaque année en Belgique ?

Le CCB a reçu 372 signalements d'incidents en 2024, 556 en 2025 et 588 au cours des neuf premiers mois de 2026. Il ne s'agit là que des incidents signalés par les organisations.

Où faut-il signaler une cyberattaque en Belgique ?

Les organisations soumises à la loi NIS2 sont tenues de signaler tout incident majeur au CCB, en lui adressant une alerte précoce dans les 24 heures. Les messages suspects peuvent être transmis à l'adresse [email protected].

La loi belge relative à la NIS 2 s'applique-t-elle aux PME ?

Elle s'applique aux organisations des secteurs mentionnés comptant au moins 50 salariés à temps plein, ou dont le chiffre d'affaires et le total du bilan dépassent 10 millions d'euros. Vous trouverez plus de détails dans notre guide sur la directive NIS 2.