Największe cyberataki w Belgii (2020–2026)

W skrócie: Największe cyberataki w Belgii od 2020 roku dotknęły sieć badawczą, dwa miasta, Ministerstwo Obrony, szpitale, browar, operatora telekomunikacyjnego i krajowe lotnisko. Najdroższym z nich był atak ransomware na miasto Antwerpia w grudniu 2022 roku, którego koszty miasto oszacowało na około 70 milionów euro. Tempo wciąż rośnie: Centrum Cyberbezpieczeństwa Belgii (CCB) otrzymało 588 zgłoszeń incydentów między styczniem a wrześniem 2026 roku, czyli więcej niż w całym 2025 roku. Poniżej przedstawiamy dwanaście najlepiej udokumentowanych przypadków, ich wspólne cechy oraz to, co oznaczają one dla belgijskich organizacji w świetle ustawy NIS2.

Największe ataki w skrócie

Kalendarium: ataki, które wpłynęły na rozwój cyberbezpieczeństwa w Belgii

2021: Belnet, Liège i Ministerstwo Obrony

4 maja 2021 r. atak DDoS sparaliżował Belnet – finansowaną przez rząd sieć łączącą belgijskie uniwersytety, instytuty badawcze i instytucje administracji publicznej. Około 200 instytucji straciło połączenie. Odwołano posiedzenia komisji w parlamencie federalnym, a strona do rezerwacji szczepień przeciwko COVID-19 też przestała działać.

Miesiąc później miasto Liège ogłosiło, że padło ofiarą „zakrojonego na szeroką skalę, ukierunkowanego ataku cybernetycznego”. Belgijskie media wskazały na grupę ransomware Ryuk, czego miasto jednak nigdy nie potwierdziło. Szef działu IT powiedział później stacji RTBF, że przywrócenie działania w trybie awaryjnym zajęło sześć tygodni, a pełne przywrócenie – sześć miesięcy.

16 grudnia 2021 r. hakerzy wykorzystali lukę w zabezpieczeniach Log4j, żeby dostać się do sieci Ministerstwa Obrony. Sieć była odcięta od internetu przez kilka tygodni. Minister Ludivine Dedonder oszacowała później bezpośrednie koszty na 2,25 mln euro. Atak przypisuje się hakerom z Chin wspieranym przez państwo.

2022: Vivalia i miasto Antwerpia

W połowie maja 2022 r. oprogramowanie ransomware zaszyfrowało systemy Vivalia – grupy składającej się z siedmiu szpitali i sześciu ośrodków opieki stacjonarnej. Grupa LockBit przyznała się do ataku i zagroziła, że opublikuje 400 GB danych pacjentów i personelu. Siedem tygodni później szpitale wciąż nie miały dostępu do wszystkich danych swoich pacjentów.

Atak, który Belgowie zapamiętali najlepiej, miał miejsce w nocy z 5 na 6 grudnia 2022 roku. Grupa ransomware Play zaatakowała środowisko IT miasta Antwerpii, zarządzane przez miejską organizację ICT Digipolis, i przejęła ponad 500 GB danych. Prawie wszystkie miejskie usługi przestały działać. Miasto twierdzi, że nie zapłaciło okupu, a miesiąc później oszacowało straty na około 70 milionów euro – obejmujące koszty i utracone dochody. W czerwcu 2024 r. flamandzka komisja nadzorująca ochronę danych osobowych wydała surowy werdykt, o czym poinformowała stacja VRT NWS: brakujące aktualizacje zabezpieczeń, niewystarczające uwierzytelnianie dwuskładnikowe, słabo podzielona sieć i praktycznie nieistniejący plan awaryjny.

2023 i 2024: Limburg.net i Duvel Moortgat

W grudniu 2023 roku grupa Medusa włamała się do Limburg.net, firmy zajmującej się gospodarką odpadami dla gmin w Limburgu. Żądała 100 000 euro. Limburg.net odmówiła, a dane wyciekły. Ostateczna analiza przeprowadzona przez EY w czerwcu 2024 roku wykazała 292 734 ofiar – głównie nazwiska i adresy wraz z numerami z rejestru ludności.

W pierwszym tygodniu marca 2024 roku w firmie Duvel Moortgat zadziałał alarm i wyłączono serwery. Produkcja w browarze w Puurs-Sint-Amands została wstrzymana, aż do wznowienia rozlewu 7 marca. Oficjalne oświadczenie browaru było lakoniczne: na magazynie było wystarczająco dużo piwa dla wszystkich.

2025: władze Walonii, Orange Belgium i lotnisko w Brukseli

W kwietniu 2025 r. hakerzy włamali się do systemów informatycznych Service public de Wallonie, czyli administracji Regionu Walonii. 17 kwietnia wraz z CCB podjęto decyzję o odcięciu wszystkich połączeń internetowych. Zakłócenia były na tyle poważne, że na mocy dekretu z 15 maja 2025 r. przedłużono terminy przewidziane w walonijskim prawodawstwie o 60 dni.

Pod koniec lipca 2025 roku firma Orange Belgium wykryła intruza w systemie, w którym przechowywano dane 850 000 kont klientów: imiona i nazwiska, numery telefonów, numery kart SIM, kody PUK oraz plany taryfowe. Firma poinformowała o tym naruszeniu 20 sierpnia.

Wieczorem 19 września 2025 r. atak na firmę Collins Aerospace spowodował awarię oprogramowania do odprawy i wejścia na pokład na lotnisku w Brukseli. Lotnisko poprosiło linie lotnicze o odwołanie około połowy z 276 lotów zaplanowanych na następny poniedziałek. Agencja UE ds. cyberbezpieczeństwa ENISA potwierdziła, że przyczyną był atak ransomware.

2026: AZ Monica i jeden portal, który otworzył 270 drzwi

13 stycznia 2026 r. szpital AZ Monica w Antwerpii wyłączył wszystkie serwery w swoich dwóch oddziałach po cyberataku. Odwołano operacje, około 70 pacjentów odesłano do domu, a siedmiu przeniesiono do innych szpitali. Elektroniczna dokumentacja pacjentów została przywrócona trzy tygodnie później.

W czerwcu 2026 roku belgijska firma ochroniarska Secutec ostrzegła przed kampanią, która trwała już od lutego. Atakujący włamali się metodą brute force do kont na portalu partnerskim firmy Fortinet i wykradli dane logowania do zapór sieciowych od dostawców usług IT. Ofiarą ataku padło co najmniej 270 belgijskich organizacji. Ten schemat nie dotyczy wyłącznie Belgii, co pokazują nasze przeglądy największych ataków w Holandii, Francji i Niemczech.

Co łączy te belgijskie sprawy

• Najbardziej ucierpiały służby publiczne i opieka zdrowotna. Dwa miasta, administracja regionalna, ministerstwo i dwie sieci szpitali: straty tych podmiotów mierzy się w tygodniach przestoju, a nie w wysokości okupu.
• Ransomware rządzi, a wraz z nim pojawiają się kradzieże danych. W firmach Vivalia, Antwerp i Limburg.net hakerzy wykorzystali skradzione dane jako kartę przetargową. CCB odnotowało 80 ataków ransomware w pierwszych dziewięciu miesiącach 2026 roku.
• Sposób włamania rzadko jest jakimś genialnym hackiem. Gdy znany jest punkt wejścia, chodzi o niezałatane luki w zabezpieczeniach (Defence), skradzione dane logowania (kampania Fortinet) albo brak podstawowych zabezpieczeń, takich jak uwierzytelnianie dwuskładnikowe (Antwerp). Liczba zgłoszeń dotyczących przejętych kont, które dotarły do CCB, wzrosła z 72 w 2024 r. do 144 w 2025 r. i 156 w pierwszych dziewięciu miesiącach 2026 r.
• Dostawcy cię w to wciągają. To nie samo lotnisko w Brukseli padło ofiarą ataku, tylko jego dostawca oprogramowania. W 2026 roku jeden portal dostawców naraził na niebezpieczeństwo setki belgijskich sieci.

Czym zajmują się CCB i Safeonweb

Centrum Cyberbezpieczeństwa Belgii (CCB) to krajowy organ ds. cyberbezpieczeństwa, który kieruje krajowym zespołem reagowania na incydenty. Przyjmuje zgłoszenia o incydentach, nadzoruje przestrzeganie przepisów ustawy NIS2 oraz publikuje „CyberFundamentals” – system wielopoziomowych środków bezpieczeństwa. Firmy mogą znaleźć narzędzia CCB oraz formularz rejestracji zgodnie z NIS2 na stronie Safeonweb@Work.

Safeonweb to strona dostępna dla wszystkich. Każdy może przesłać podejrzaną wiadomość na adres [email protected]. W 2025 roku CCB otrzymywało średnio 27 000 takich zgłoszeń dziennie, a do marca 2026 roku liczba ta wzrosła do ponad 42 000. Miguel De Bruycker z CCB powiedział stacji VRT NWS, że dzięki sztucznej inteligencji przestępcy potrafią teraz błyskawicznie tworzyć bardzo wiarygodne wiadomości.

Czynnik ludzki: gdzie tak naprawdę zaczyna się atak

Belgijskie ofiary rzadko ujawniają, w jaki sposób atakujący się włamali, więc nikt nie może z całą pewnością stwierdzić, że każdy z powyższych przypadków zaczął się od wiadomości phishingowej. Dane pokazują jednak, gdzie leży główny problem: dziesiątki tysięcy wiadomości phishingowych dziennie, dwa razy więcej zhakowanych kont niż dwa lata temu oraz skradzione dane logowania, które były kluczowym elementem największej kampanii w 2026 roku.

Żadna zapora sieciowa tego nie zabezpieczy. Pracownik, który rozpozna fałszywą stronę logowania albo telefon od „działu pomocy technicznej”, powstrzymuje atak, zanim przerodzi się on w incydent. Nasze zestawienie rodzajów ataków phishingowych pokazuje, jak takie wiadomości wyglądają obecnie. Guardey ćwiczy ten odruch za pomocą cotygodniowego, trwającego około trzech minut zadania w formie gry, które zawiera symulacje ataków phishingowych.

Co to oznacza dla belgijskich MŚP w świetle ustawy NIS2

Belgia wdrożyła dyrektywę NIS2 na czas. Ustawa z 26 kwietnia 2024 r. obowiązuje od 18 października 2024 r., a nadzór sprawuje CCB. Średnie i duże organizacje z wymienionych sektorów muszą się zarejestrować, zgłaszać poważne incydenty w ciągu 24 i 72 godzin oraz wdrażać środki zarządzania ryzykiem, w tym szkolenia z cyberbezpieczeństwa. Kierownictwo musi samo przejść szkolenia i ponosi za to odpowiedzialność. Kary mogą sięgać nawet 10 milionów euro lub 2% światowego obrotu. Nasz przewodnik po NIS2 wyjaśnia zakres, obowiązki i terminy.

Cztery wskazówki, które każde belgijskie MŚP może wykorzystać w tym kwartale:

1. Włącz uwierzytelnianie wieloskładnikowe i szybko instaluj aktualizacje. W Antwerpii wykryto słabe uwierzytelnianie dwuskładnikowe – to właśnie niezałatany system umożliwił atakowi na systemy Ministerstwa Obrony.
2. Zadaj swoim dostawcom pytanie o lotnisko w Brukseli. Kto ma dostęp do twoich danych logowania i kluczowego oprogramowania, i co zrobisz, gdy przestaną działać?
3. Przećwicz proces przywracania danych. Duvel wznowił rozlew już po kilku dniach, a Liège potrzebowało na to sześciu miesięcy. Zobacz też, jak zapobiegać atakom ransomware.
4. Szkol pracowników co tydzień, a nie raz w roku. Krótkie, regularne szkolenia i symulacje pozwalają utrzymać wysoki poziom zaangażowania i dostarczają dowodów, o które prosi audytor.

Często zadawane pytania

Jaki był największy cyberatak w Belgii?

Pod względem kosztów – atak ransomware na miasto Antwerpia w grudniu 2022 r., którego koszty miasto oszacowało na około 70 mln euro. Pod względem liczby poszkodowanych – wyciek danych w Orange Belgium z 2025 r., który dotknął 850 000 kont klientów. Pod względem zasięgu – atak DDoS na Belnet z maja 2021 r., który odciął od sieci około 200 instytucji naraz.

Ile cyberataków ma miejsce w Belgii każdego roku?

W 2024 roku CCB otrzymało 372 zgłoszenia incydentów, w 2025 roku – 556, a w pierwszych dziewięciu miesiącach 2026 roku – 588. To tylko te incydenty, które zgłaszają organizacje.

Gdzie zgłosić cyberatak w Belgii?

Organizacje objęte przepisami NIS2 muszą zgłaszać poważne incydenty do CCB, a wstępne powiadomienie należy przesłać w ciągu 24 godzin. Podejrzane wiadomości można przesyłać na adres [email protected].

Czy belgijska ustawa o NIS2 dotyczy małych i średnich przedsiębiorstw?

Dotyczy to organizacji z wymienionych sektorów, które zatrudniają co najmniej 50 pracowników w pełnym wymiarze czasu pracy lub których obroty i suma bilansowa przekraczają 10 mln euro. Szczegóły znajdziesz w naszym przewodniku po NIS2.