De grootste cyberaanvallen in België (2020–2026)

In het kort: De grootste cyberaanvallen in België sinds 2020 troffen een onderzoeksnetwerk, twee steden, het ministerie van Defensie, ziekenhuizen, een brouwer, een telecomoperator en de nationale luchthaven. De duurste was de ransomwareaanval op de stad Antwerpen in december 2022, die de stad zelf op zo'n € 70 miljoen raamde. Het tempo ligt nog altijd hoger dan het jaar ervoor: het Centrum voor Cybersecurity België (CCB) kreeg tussen januari en september 2026 588 incidentmeldingen, meer dan in heel 2025. Hieronder staan de twaalf best gedocumenteerde zaken, wat ze gemeen hebben en wat ze betekenen voor Belgische organisaties onder de NIS2 wet.

De grootste aanvallen in één oogopslag

Tijdlijn: de aanvallen die de Belgische cybersecurity hebben gevormd

2021: Belnet, Luik en het ministerie van Defensie

Op 4 mei 2021 legde een DDoS aanval Belnet plat, het door de overheid gefinancierde netwerk dat Belgische universiteiten, onderzoeksinstellingen en overheidsdiensten verbindt. Zo'n 200 instellingen verloren hun verbinding. Commissievergaderingen in de Kamer werden geschrapt en de reserveringssite voor coronavaccinaties ging mee onderuit.

Een maand later meldde de stad Luik dat ze het slachtoffer was van 'een grootschalige gerichte computeraanval'. Belgische media wezen naar de ransomwaregroep Ryuk, maar de stad heeft dat nooit bevestigd. Het noodherstel duurde zes weken, het volledige herstel zes maanden, vertelde het hoofd van de IT dienst later aan RTBF.

Op 16 december 2021 gebruikten aanvallers de Log4j kwetsbaarheid om het netwerk van het ministerie van Defensie binnen te komen. Het netwerk werd wekenlang van het internet losgekoppeld. Minister Ludivine Dedonder becijferde de directe kosten later op € 2,25 miljoen. De aanval wordt toegeschreven aan door de staat gesteunde hackers uit China.

2022: Vivalia en de stad Antwerpen

Midden mei 2022 versleutelde ransomware de systemen van Vivalia, een groep van zeven ziekenhuizen en zes woonzorgcentra. LockBit eiste de aanval op en dreigde 400 GB aan gegevens van patiënten en personeel te publiceren. Zeven weken later konden de ziekenhuizen nog altijd niet bij al hun patiëntgegevens.

De aanval die Belgen zich het best herinneren, kwam in de nacht van 5 op 6 december 2022. De ransomwaregroep Play trof de IT omgeving van de stad Antwerpen, beheerd door haar ICT organisatie Digipolis, en claimde meer dan 500 GB aan data. Bijna alle stadsdiensten vielen uit. De stad zegt niet te hebben betaald en raamde de rekening een maand later op zo'n € 70 miljoen aan kosten en gemiste inkomsten. In juni 2024 kwam de Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens met een hard oordeel, zo meldde VRT NWS: ontbrekende beveiligingsupdates, onvoldoende tweestapsverificatie, een nauwelijks gesegmenteerd netwerk en amper een herstelplan.

2023 en 2024: Limburg.net en Duvel Moortgat

In december 2023 brak de groep Medusa in bij Limburg.net, de afvalintercommunale van de Limburgse gemeenten. De eis: € 100.000. Limburg.net weigerde en de data werden gelekt. De eindanalyse van EY telde in juni 2024 292.734 slachtoffers, vooral namen en adressen met rijksregisternummers.

In de eerste week van maart 2024 ging bij Duvel Moortgat een alarm af en werden de servers uitgeschakeld. De productie in de brouwerij in Puurs-Sint-Amands lag stil tot het bottelen op 7 maart weer begon. De boodschap van de brouwer was droog: er was genoeg bier in voorraad voor iedereen.

2025: de Waalse administratie, Orange Belgium en Brussels Airport

In april 2025 drongen aanvallers binnen in de IT systemen van de Service public de Wallonie, de administratie van het Waals Gewest. Op 17 april besloot die, in overleg met het CCB, om alle internetverbindingen te verbreken. De verstoring was zo groot dat een decreet van 15 mei 2025 wettelijke termijnen in de Waalse regelgeving met 60 dagen verlengde.

Eind juli 2025 ontdekte Orange Belgium een indringer in een systeem met gegevens van 850.000 klantaccounts: namen, telefoonnummers, simkaartnummers, PUK codes en tariefplannen. Het bedrijf maakte het lek op 20 augustus bekend.

Op de avond van 19 september 2025 legde een aanval op Collins Aerospace de software voor inchecken en boarden op Brussels Airport plat. De luchthaven vroeg luchtvaartmaatschappijen om ongeveer de helft van de 276 geplande vertrekken van de maandag erna te schrappen. Het Europese cybersecurityagentschap ENISA bevestigde dat ransomware de oorzaak was.

2026: AZ Monica en één portaal dat 270 deuren opende

Op 13 januari 2026 schakelde het Antwerpse ziekenhuis AZ Monica na een cyberaanval alle servers op zijn twee campussen uit. Operaties werden geschrapt, ongeveer 70 patiënten gingen naar huis en zeven werden overgebracht naar andere ziekenhuizen. Het elektronisch patiëntendossier kwam drie weken later terug.

In juni 2026 waarschuwde het Belgische securitybedrijf Secutec voor een campagne die al sinds februari liep. Aanvallers hadden met brute force accounts op het partnerportaal van Fortinet gekraakt en inloggegevens van firewalls gestolen bij IT dienstverleners. Minstens 270 Belgische organisaties werden getroffen. Het patroon is niet typisch Belgisch, zoals onze overzichten van de grootste aanvallen in Nederland, Frankrijk en Duitsland laten zien.

Wat de Belgische zaken gemeen hebben

• Overheid en zorg krijgen de zwaarste klappen. Twee steden, een gewestelijke administratie, een ministerie en twee ziekenhuisgroepen: hun schade wordt geteld in weken stilstand, niet in losgeld.
• Ransomware overheerst, en datadiefstal hoort erbij. Bij Vivalia, Antwerpen en Limburg.net gebruikten de aanvallers gestolen data als drukmiddel. Het CCB telde in de eerste negen maanden van 2026 80 ransomwareaanvallen.
• De ingang is zelden een briljante hack. Waar het toegangspunt bekend is, gaat het om een niet gepatchte kwetsbaarheid (Defensie), gestolen inloggegevens (de Fortinet campagne) of ontbrekende basismaatregelen zoals tweestapsverificatie (Antwerpen). Het aantal meldingen van gecompromitteerde accounts bij het CCB ging van 72 in 2024 naar 144 in 2025 en 156 in de eerste negen maanden van 2026.
• Leveranciers trekken je mee. Brussels Airport werd zelf niet aangevallen, de softwareleverancier wel. In 2026 legde één leveranciersportaal honderden Belgische netwerken bloot.

Wat het CCB en Safeonweb doen

Het Centrum voor Cybersecurity België (CCB) is de nationale autoriteit voor cybersecurity en leidt het nationale team dat op incidenten reageert. Het ontvangt incidentmeldingen, houdt toezicht op de NIS2 wet en publiceert CyberFundamentals, een raamwerk van beveiligingsmaatregelen in niveaus. Bedrijven vinden de tools en de NIS2 registratie op Safeonweb@Work.

Safeonweb is de kant voor het grote publiek. Iedereen kan een verdacht bericht doorsturen naar [email protected]. In 2025 kreeg het CCB er gemiddeld 27.000 per dag, in maart 2026 meer dan 42.000. Miguel De Bruycker van het CCB zei tegen VRT NWS dat criminelen met AI in een handomdraai heel geloofwaardige berichten maken.

De menselijke factor: waar een aanval echt begint

Belgische slachtoffers maken zelden bekend hoe de aanvallers binnenkwamen. Niemand kan dus eerlijk beweren dat elke zaak hierboven met een phishingmail begon. De cijfers laten wel zien waar de druk zit: tienduizenden phishingberichten per dag, twee keer zoveel gecompromitteerde accounts als twee jaar geleden en gestolen inloggegevens als kern van de grootste campagne van 2026.

Dat deel dekt geen firewall af. Een medewerker die een valse inlogpagina of een telefoontje van 'de helpdesk' herkent, stopt een aanval voordat het een incident wordt. Ons overzicht van soorten phishing aanvallen laat zien hoe zulke berichten er vandaag uitzien. Guardey traint die reflex met elke week een gamified challenge van ongeveer drie minuten, met phishing simulaties inbegrepen.

Wat dit betekent voor Belgische kmo's onder de NIS2 wet

België zette NIS2 op tijd om. De wet van 26 april 2024 geldt sinds 18 oktober 2024, met het CCB als toezichthouder. Middelgrote en grote organisaties in de aangewezen sectoren moeten zich registreren, significante incidenten binnen 24 en 72 uur melden en risicobeheersmaatregelen nemen, waaronder opleiding in cybersecurity. Het bestuur moet zelf een opleiding volgen en is aansprakelijk. De boetes lopen op tot € 10 miljoen of 2% van de wereldwijde omzet. Onze NIS2 gids legt de reikwijdte, de plichten en de deadlines uit.

Vier lessen waar elke Belgische kmo (in Nederland: mkb) dit kwartaal mee aan de slag kan:

1. Zet multifactorauthenticatie aan en patch snel. Zwakke tweestapsverificatie was een bevinding in Antwerpen, een niet gepatcht systeem de ingang bij Defensie.
2. Stel je leveranciers de Brussels Airport vraag. Wie heeft jouw inloggegevens en kritieke software in handen, en wat doe je als zij uitvallen?
3. Oefen het herstel. Duvel bottelde binnen enkele dagen weer, Luik had zes maanden nodig. Lees ook hoe je ransomware voorkomt.
4. Train mensen elke week, niet één keer per jaar. Korte, regelmatige training en simulaties houden de aandacht vast en leveren het bewijs waar een auditor om vraagt.

Veelgestelde vragen

Wat was de grootste cyberaanval in België?

Qua kosten de ransomwareaanval op de stad Antwerpen in december 2022, door de stad geraamd op zo'n € 70 miljoen. Qua aantal getroffen mensen het datalek bij Orange Belgium in 2025, met 850.000 klantaccounts. Qua bereik de DDoS op Belnet in mei 2021, die zo'n 200 instellingen tegelijk afsneed.

Hoeveel cyberaanvallen zijn er per jaar in België?

Het CCB kreeg 372 incidentmeldingen in 2024, 556 in 2025 en 588 in de eerste negen maanden van 2026. Dat zijn alleen de incidenten die organisaties melden.

Waar meld je een cyberaanval in België?

Organisaties die onder de NIS2 wet vallen, moeten een significant incident melden bij het CCB, met een vroegtijdige waarschuwing binnen 24 uur. Verdachte berichten kun je doorsturen naar [email protected].

Geldt de Belgische NIS2 wet ook voor kmo's?

De wet geldt voor organisaties in de aangewezen sectoren met minstens 50 voltijdse medewerkers, of met een omzet en balanstotaal boven € 10 miljoen. De details staan in onze NIS2 gids.