I più gravi attacchi informatici in Belgio (2020–2026)

In sintesi: i più gravi attacchi informatici verificatisi in Belgio dal 2020 hanno colpito una rete di ricerca, due città, il Ministero della Difesa, alcuni ospedali, un produttore di birra, un operatore di telecomunicazioni e l’aeroporto nazionale. Il più costoso è stato l’attacco ransomware contro la città di Anversa nel dicembre 2022, il cui costo è stato stimato dalla stessa città in circa 70 milioni di euro. Il ritmo continua ad aumentare: il Centro per la sicurezza informatica del Belgio (CCB) ha ricevuto 588 segnalazioni di incidenti tra gennaio e settembre 2026, più che in tutto il 2025. Di seguito sono riportati i dodici casi meglio documentati, ciò che hanno in comune e cosa significano per le organizzazioni belghe ai sensi della normativa NIS2.

I principali attacchi in sintesi

Cronologia: gli attacchi che hanno plasmato la sicurezza informatica belga

2021: Belnet, Liegi e il Ministero della Difesa

Il 4 maggio 2021 un attacco DDoS ha saturato Belnet, la rete finanziata dal governo che collega le università, gli istituti di ricerca e le amministrazioni pubbliche belghe. Circa 200 istituzioni hanno perso la connessione. Le riunioni delle commissioni del parlamento federale sono state annullate e anche il sito per la prenotazione delle vaccinazioni contro il COVID-19 è andato in tilt.

Un mese dopo, la città di Liegi ha annunciato di essere stata vittima di “un attacco informatico mirato su larga scala”. I media belgi hanno indicato come responsabile il gruppo di ransomware Ryuk, ipotesi che la città non ha mai confermato. Il ripristino di emergenza ha richiesto sei settimane, mentre il ripristino completo sei mesi, come ha poi riferito il responsabile del dipartimento IT alla RTBF.

Il 16 dicembre 2021 alcuni hacker hanno sfruttato la vulnerabilità di Log4j per penetrare nella rete del Ministero della Difesa. La rete è rimasta isolata da Internet per settimane. La ministra Ludivine Dedonder ha successivamente stimato il costo diretto dell’attacco in 2,25 milioni di euro. L’attacco è attribuito a hacker cinesi sostenuti dallo Stato.

2022: Vivalia e la città di Anversa

A metà maggio 2022, un ransomware ha crittografato i sistemi di Vivalia, un gruppo composto da sette ospedali e sei centri di assistenza residenziale. LockBit ha rivendicato l’attacco e ha minacciato di rendere pubblici 400 GB di dati relativi a pazienti e personale. Sette settimane dopo, gli ospedali non erano ancora in grado di accedere a tutti i dati dei propri pazienti.

L’attacco che i belgi ricordano meglio risale alla notte tra il 5 e il 6 dicembre 2022. Il gruppo di ransomware Play ha colpito l’ambiente informatico della città di Anversa, gestito dalla sua organizzazione ICT Digipolis, e ha sottratto oltre 500 GB di dati. Quasi tutti i servizi cittadini sono stati interrotti. Il Comune afferma di non aver pagato il riscatto e, un mese dopo, ha stimato il conto in circa 70 milioni di euro tra costi e mancati introiti. Nel giugno 2024 la commissione fiamminga di vigilanza sui dati personali ha emesso un verdetto severo, riportato da VRT NWS: aggiornamenti di sicurezza mancanti, autenticazione a due fattori insufficiente, una rete scarsamente segmentata e un piano di ripristino praticamente inesistente.

2023 e 2024: Limburg.net e Duvel Moortgat

Nel dicembre 2023 il gruppo Medusa ha violato Limburg.net, la società di gestione dei rifiuti dei comuni del Limburgo. Ha chiesto un riscatto di 100.000 euro. Limburg.net ha rifiutato e i dati sono stati divulgati. L’analisi finale condotta da EY nel giugno 2024 ha contato 292.734 vittime, per lo più nomi e indirizzi con i numeri di registrazione anagrafica.

Nella prima settimana di marzo 2024, presso la Duvel Moortgat è scattato un allarme e i server sono stati spenti. La produzione presso il birrificio di Puurs-Sint-Amands è rimasta ferma fino al 7 marzo, quando è ripresa l’imbottigliamento. Il comunicato ufficiale del birrificio è stato laconico: le scorte di birra erano sufficienti per tutti.

2025: l'amministrazione vallona, Orange Belgium e l'aeroporto di Bruxelles

Nell’aprile 2025 alcuni intrusi sono penetrati nei sistemi informatici del Service public de Wallonie, l’amministrazione della Regione Vallonia. Il 17 aprile quest’ultima ha deciso, di concerto con il CCB, di interrompere ogni connessione a Internet. L’interruzione è stata talmente grave da rendere necessaria l’emanazione di un decreto, in data 15 maggio 2025, che prorogava di 60 giorni i termini previsti dalla legislazione vallona.

Alla fine di luglio 2025, Orange Belgium ha rilevato la presenza di un intruso in un sistema contenente i dati relativi a 850.000 account di clienti: nomi, numeri di telefono, numeri di scheda SIM, codici PUK e piani tariffari. L'azienda ha reso nota la violazione il 20 agosto.

La sera del 19 settembre 2025, un attacco ai danni di Collins Aerospace ha messo fuori uso il software per il check-in e l’imbarco all’aeroporto di Bruxelles. L’aeroporto ha chiesto alle compagnie aeree di cancellare circa la metà delle 276 partenze previste per il lunedì successivo. L’agenzia dell’UE per la sicurezza informatica ENISA ha confermato che la causa era un ransomware.

2026: AZ Monica e un portale che ha aperto 270 porte

Il 13 gennaio 2026 l’ospedale AZ Monica di Anversa ha spento tutti i server delle sue due sedi a seguito di un attacco informatico. Gli interventi chirurgici sono stati annullati, circa 70 pazienti sono stati rimandati a casa e sette sono stati trasferiti in altri ospedali. La cartella clinica elettronica è tornata operativa tre settimane dopo.

Nel giugno 2026, la società di sicurezza belga Secutec ha segnalato una campagna in corso già da febbraio. Gli autori degli attacchi avevano effettuato attacchi di forza bruta agli account del portale dei partner di Fortinet e rubato le credenziali dei firewall da fornitori di servizi IT. Sono state colpite almeno 270 organizzazioni belghe. Questo schema non è esclusivo del Belgio, come dimostrano le nostre analisi sui principali attacchi avvenuti nei Paesi Bassi, in Francia e in Germania.

Cosa hanno in comune i casi belgi

• I servizi pubblici e la sanità sono quelli che subiscono i colpi più duri. Due città, un’amministrazione regionale, un ministero e due gruppi ospedalieri: i danni subiti si misurano in settimane di inattività, non in riscatti.
• Il ransomware la fa da padrone e con esso il furto di dati. Nei casi di Vivalia, Anversa e Limburg.net, gli autori degli attacchi hanno utilizzato i dati rubati come leva. Il CCB ha registrato 80 attacchi ransomware nei primi nove mesi del 2026.
• Il metodo di accesso raramente consiste in un attacco ingegnoso. Quando il punto di ingresso è noto, si tratta di una vulnerabilità non corretta (Defence), di credenziali di accesso rubate (la campagna Fortinet) o della mancanza di misure di base come l’autenticazione a due fattori (Anversa). Le segnalazioni di account compromessi pervenute al CCB sono passate da 72 nel 2024 a 144 nel 2025 e a 156 nei primi nove mesi del 2026.
• I fornitori ti mettono nei guai. L’aeroporto di Bruxelles non è stato attaccato direttamente, ma lo è stato il suo fornitore di software. Nel 2026, un portale di fornitori ha esposto centinaia di reti belghe.

Cosa fanno il CCB e Safeonweb

Il Centre for Cybersecurity Belgium (CCB) è l’autorità nazionale per la sicurezza informatica e gestisce la squadra nazionale di risposta agli incidenti. Riceve le segnalazioni di incidenti, vigila sull’applicazione della normativa NIS2 e pubblica CyberFundamentals, un quadro di riferimento che definisce misure di sicurezza suddivise per livelli. Le aziende possono trovare i suoi strumenti e la procedura di registrazione NIS2 su Safeonweb@Work.

Safeonweb è la piattaforma aperta al pubblico. Chiunque può inoltrare un messaggio sospetto all’indirizzo [email protected]. Nel 2025 il CCB ne riceveva in media 27.000 al giorno, mentre a marzo 2026 il numero era salito a oltre 42.000. Miguel De Bruycker del CCB ha dichiarato a VRT NWS che l’intelligenza artificiale consente ormai ai criminali di produrre messaggi molto credibili in pochissimo tempo.

Il fattore umano: dove ha davvero inizio un attacco

Le vittime belghe raramente rendono noto in che modo gli autori degli attacchi siano riusciti a introdursi nei sistemi, quindi nessuno può affermare con certezza che tutti i casi sopra citati abbiano avuto origine da un’e-mail di phishing. I dati, tuttavia, evidenziano chiaramente dove si concentra il problema: decine di migliaia di messaggi di phishing al giorno, il doppio degli account compromessi rispetto a due anni fa e credenziali di accesso rubate al centro della più grande campagna del 2026.

Nessun firewall è in grado di proteggere da questo tipo di minaccia. Un dipendente che riconosce una pagina di accesso contraffatta o una chiamata proveniente dal “servizio di assistenza” blocca un attacco prima che si trasformi in un incidente. La nostra panoramica sui tipi di attacchi di phishing mostra come si presentano oggi questi messaggi. Guardey allena questo riflesso con una sfida ludica della durata di circa tre minuti ogni settimana, che include simulazioni di phishing.

Cosa comporta per le PMI belghe la normativa NIS2

Il Belgio ha recepito la direttiva NIS2 nei tempi previsti. La legge del 26 aprile 2024 è in vigore dal 18 ottobre 2024, con la CCB in qualità di autorità di vigilanza. Le organizzazioni di medie e grandi dimensioni operanti nei settori elencati sono tenute a registrarsi, a segnalare gli incidenti significativi entro 24 e 72 ore e ad adottare misure di gestione del rischio, tra cui la formazione in materia di sicurezza informatica. Il management deve seguire personalmente la formazione ed è responsabile del rispetto degli obblighi. Le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale. La nostra guida alla NIS2 illustra l’ambito di applicazione, gli obblighi e le scadenze.

Quattro consigli che ogni PMI belga può mettere in pratica in questo trimestre:

1. Attivate l’autenticazione a più fattori e applicate rapidamente le patch. Ad Anversa è emerso che un’autenticazione a due fattori inadeguata ha permesso a un sistema privo di patch di fungere da via d’accesso al Ministero della Difesa.
2. Ponete ai vostri fornitori la domanda sull’aeroporto di Bruxelles. Chi detiene le vostre credenziali di accesso e il software critico, e cosa fate quando questi smettono di funzionare?
3. Fai una prova generale del ripristino. Duvel ha ripreso l'imbottigliamento nel giro di pochi giorni, mentre Liegi ha impiegato sei mesi. Vedi anche come prevenire il ransomware.
4. Formate il personale ogni settimana, non una volta all’anno. Corsi di formazione brevi e regolari e simulazioni mantengono alta l’attenzione e vi forniscono le prove richieste da un revisore.

Domande frequenti

Qual è stato il più grave attacco informatico mai verificatosi in Belgio?

In termini di costi, l’attacco ransomware alla città di Anversa nel dicembre 2022, stimato dal Comune in circa 70 milioni di euro. In termini di numero di persone coinvolte, la violazione subita da Orange Belgium nel 2025, che ha interessato 850.000 account di clienti. In termini di portata, l’attacco DDoS a Belnet del maggio 2021, che ha isolato circa 200 istituzioni contemporaneamente.

Quanti attacchi informatici si verificano ogni anno in Belgio?

Il CCB ha ricevuto 372 segnalazioni di incidenti nel 2024, 556 nel 2025 e 588 nei primi nove mesi del 2026. Si tratta solo degli incidenti segnalati dalle organizzazioni.

A chi si deve segnalare un attacco informatico in Belgio?

Le organizzazioni soggette alla normativa NIS2 sono tenute a segnalare un incidente significativo al CCB, inviando una segnalazione preventiva entro 24 ore. I messaggi sospetti possono essere inoltrati all'indirizzo [email protected].

La legge belga NIS2 si applica alle PMI?

Si applica alle organizzazioni dei settori elencati che abbiano almeno 50 dipendenti a tempo pieno oppure un fatturato e un totale di bilancio superiori a 10 milioni di euro. I dettagli sono riportati nella nostra guida NIS2.