Os maiores ciberataques na Bélgica (2020–2026)

Em resumo: Os maiores ciberataques na Bélgica desde 2020 afetaram uma rede de investigação, duas cidades, o Ministério da Defesa, hospitais, uma cervejaria, uma operadora de telecomunicações e o aeroporto nacional. O mais dispendioso foi o ataque de ransomware à cidade de Antuérpia, em dezembro de 2022, que a própria cidade estimou em cerca de 70 milhões de euros. O ritmo continua a aumentar: o Centro de Cibersegurança da Bélgica (CCB) recebeu 588 relatos de incidentes entre janeiro e setembro de 2026, mais do que em todo o ano de 2025. Abaixo estão os doze casos mais bem documentados, o que têm em comum e o que significam para as organizações belgas ao abrigo da lei NIS2.

Os maiores ataques num relance

Cronologia: os ataques que marcaram a cibersegurança belga

2021: Belnet, Liège e o Ministério da Defesa

A 4 de maio de 2021, um ataque DDoS sobrecarregou a Belnet, a rede financiada pelo governo que liga as universidades, os institutos de investigação e as administrações públicas belgas. Cerca de 200 instituições ficaram sem ligação. As reuniões das comissões no parlamento federal foram canceladas e o site de marcação de vacinas contra a COVID-19 também ficou fora de serviço.

Um mês depois, a cidade de Liège anunciou que tinha sido vítima de «um ataque informático direcionado em grande escala». A imprensa belga apontou o grupo de ransomware Ryuk, algo que a cidade nunca confirmou. A recuperação de emergência demorou seis semanas e a recuperação total, seis meses, como o chefe do departamento de TI disse mais tarde à RTBF.

A 16 de dezembro de 2021, uns atacantes aproveitaram a vulnerabilidade do Log4j para invadir a rede do Ministério da Defesa. A rede ficou desligada da Internet durante semanas. A ministra Ludivine Dedonder estimou mais tarde o custo direto em 2,25 milhões de euros. O ataque é atribuído a hackers chineses apoiados pelo Estado.

2022: Vivalia e a cidade de Antuérpia

Em meados de maio de 2022, um ransomware encriptou os sistemas da Vivalia, um grupo composto por sete hospitais e seis centros de cuidados residenciais. O grupo LockBit reivindicou o ataque e ameaçou publicar 400 GB de dados de doentes e funcionários. Sete semanas depois, os hospitais ainda não conseguiam aceder a todos os dados dos seus doentes.

O ataque de que os belgas mais se lembram aconteceu na noite de 5 para 6 de dezembro de 2022. O grupo de ransomware Play atacou o ambiente informático da cidade de Antuérpia, gerido pela sua organização de TIC, a Digipolis, e ficou com mais de 500 GB de dados. Quase todos os serviços municipais ficaram fora de serviço. A cidade diz que não pagou e, um mês depois, estimou a conta em cerca de 70 milhões de euros em custos e receitas perdidas. Em junho de 2024, a comissão de supervisão flamenga para os dados pessoais emitiu um veredicto severo, noticiado pela VRT NWS: faltavam atualizações de segurança, a autenticação de dois fatores era insuficiente, a rede estava mal segmentada e praticamente não havia um plano de recuperação.

2023 e 2024: Limburg.net e Duvel Moortgat

Em dezembro de 2023, o grupo Medusa invadiu a Limburg.net, a empresa de gestão de resíduos dos municípios de Limburg. Exigiu 100 000 €. A Limburg.net recusou e os dados foram divulgados. A análise final da EY, em junho de 2024, contabilizou 292 734 vítimas, na sua maioria nomes e moradas com números do registo nacional.

Na primeira semana de março de 2024, disparou um alarme na Duvel Moortgat e os servidores foram desligados. A produção na cervejaria de Puurs-Sint-Amands ficou paralisada até que o engarrafamento recomeçou a 7 de março. A mensagem pública da cervejaria foi sucinta: havia cerveja suficiente em stock para toda a gente.

2025: a Administração da Valónia, a Orange Belgium e o Aeroporto de Bruxelas

Em abril de 2025, uns intrusos invadiram os sistemas informáticos do Service public de Wallonie, a administração da Região da Valónia. A 17 de abril, decidiram, em conjunto com o CCB, cortar todas as ligações à Internet. A perturbação foi suficientemente grave para que um decreto de 15 de maio de 2025 prorrogasse por 60 dias os prazos legais previstos na legislação valã.

No final de julho de 2025, a Orange Belgium detetou um intruso num sistema que continha dados de 850 000 contas de clientes: nomes, números de telefone, números de cartões SIM, códigos PUK e planos tarifários. A empresa divulgou a violação a 20 de agosto.

Na noite de 19 de setembro de 2025, um ataque à Collins Aerospace deixou inoperacional o software de check-in e embarque no Aeroporto de Bruxelas. O aeroporto pediu às companhias aéreas que cancelassem cerca de metade das 276 partidas previstas para a segunda-feira seguinte. A agência de cibersegurança da UE, a ENISA, confirmou que a causa foi um ransomware.

2026: AZ Monica e um portal que abriu 270 portas

A 13 de janeiro de 2026, o hospital AZ Monica, em Antuérpia, desligou todos os servidores nos seus dois campus depois de um ciberataque. As operações foram canceladas, cerca de 70 doentes foram mandados para casa e sete foram transferidos para outros hospitais. O registo eletrónico dos doentes voltou a funcionar três semanas depois.

Em junho de 2026, a empresa de segurança belga Secutec alertou para uma campanha que já estava a decorrer desde fevereiro. Os atacantes tinham utilizado ataques de força bruta para aceder a contas no portal de parceiros da Fortinet e roubado credenciais de firewall a prestadores de serviços de TI. Pelo menos 270 organizações belgas foram afetadas. Este padrão não é exclusivo da Bélgica, como mostram as nossas análises dos maiores ataques na Holanda, França e Alemanha.

O que os casos belgas têm em comum

• Os serviços públicos e os cuidados de saúde são os mais afetados. Duas cidades, uma administração regional, um ministério e dois grupos hospitalares: os prejuízos contam-se em semanas de inatividade, não em resgates.
• O ransomware domina, e o roubo de dados vem à retaguarda. Na Vivalia, em Antuérpia e no Limburg.net, os atacantes usaram dados roubados como moeda de troca. O CCB registou 80 ataques de ransomware nos primeiros nove meses de 2026.
• A forma de entrar raramente é um ataque genial. Quando o ponto de entrada é conhecido, trata-se de uma vulnerabilidade sem correção (Defence), dados de acesso roubados (a campanha da Fortinet) ou a falta de medidas básicas, como a autenticação de dois fatores (Antuérpia). As denúncias de contas comprometidas ao CCB passaram de 72 em 2024 para 144 em 2025 e 156 nos primeiros nove meses de 2026.
• Os fornecedores são o ponto fraco. O Aeroporto de Bruxelas não foi alvo de um ataque direto, mas sim o seu fornecedor de software. Em 2026, um portal de fornecedores expôs centenas de redes belgas.

O que o CCB e a Safeonweb fazem

O Centro de Cibersegurança da Bélgica (CCB) é a autoridade nacional de cibersegurança e coordena a equipa nacional de resposta a incidentes. Recebe relatos de incidentes, supervisiona a aplicação da lei NIS2 e publica o CyberFundamentals, um quadro de medidas de segurança organizado por níveis. As empresas podem encontrar as suas ferramentas e o registo NIS2 no Safeonweb@Work.

O Safeonweb é a plataforma aberta ao público. Qualquer pessoa pode enviar uma mensagem suspeita para [email protected]. Em 2025, o CCB recebia, em média, 27 000 dessas mensagens por dia e, em março de 2026, já eram mais de 42 000. Miguel De Bruycker, do CCB, disse à VRT NWS que a IA agora permite que os criminosos criem mensagens muito credíveis num instante.

O fator humano: onde um ataque começa realmente

As vítimas belgas raramente revelam como é que os atacantes conseguiram entrar, por isso ninguém pode afirmar com toda a certeza que todos os casos acima referidos tenham começado com um e-mail de phishing. Os números mostram, no entanto, onde está a pressão: dezenas de milhares de mensagens de phishing por dia, o dobro das contas comprometidas em relação a há dois anos e dados de acesso roubados no centro da maior campanha de 2026.

Nenhuma firewall protege essa parte. Um colaborador que reconheça uma página de login falsa ou uma chamada do «serviço de assistência» impede um ataque antes que se transforme num incidente. A nossa visão geral dos tipos de ataques de phishing mostra como são essas mensagens hoje em dia. O Guardey treina esse reflexo com um desafio gamificado de cerca de três minutos por semana, que inclui simulações de phishing.

O que isto significa para as PME belgas ao abrigo da lei NIS2

A Bélgica transpôs a NIS2 dentro do prazo. A lei de 26 de abril de 2024 está em vigor desde 18 de outubro de 2024, sendo a CCB a entidade supervisora. As organizações de média e grande dimensão nos setores indicados têm de se registar, comunicar incidentes significativos no prazo de 24 e 72 horas e tomar medidas de gestão de risco, que incluem formação em cibersegurança. A direção tem de frequentar a formação e é responsável por isso. As multas podem ir até 10 milhões de euros ou 2% do volume de negócios mundial. O nosso guia sobre a NIS2 explica o âmbito de aplicação, as obrigações e os prazos.

Quatro lições que qualquer PME belga pode pôr em prática neste trimestre:

1. Ativa a autenticação multifatorial e instala as atualizações rapidamente. Em Antuérpia, descobriu-se que uma autenticação de dois fatores fraca permitiu que um sistema sem atualizações servisse de porta de entrada para a Defesa.
2. Faz a pergunta do Aeroporto de Bruxelas aos teus fornecedores. Quem tem os teus dados de acesso e o software essencial, e o que fazes quando estes deixam de funcionar?
3. Ensaia o processo de recuperação. A Duvel voltou a engarrafar em poucos dias, enquanto Liège demorou seis meses. Vê também como prevenir o ransomware.
4. Dá formação às pessoas todas as semanas, não só uma vez por ano. Formações curtas e regulares, juntamente com simulações, mantêm a atenção elevada e dão-te as provas que um auditor pede.

Perguntas mais frequentes

Qual foi o maior ciberataque na Bélgica?

Em termos de custos, o ataque de ransomware à cidade de Antuérpia, em dezembro de 2022, estimado pela cidade em cerca de 70 milhões de euros. Em termos de número de pessoas afetadas, a violação de segurança da Orange Belgium, em 2025, que afetou 850 000 contas de clientes. Em termos de alcance, o ataque DDoS à Belnet, em maio de 2021, que deixou cerca de 200 instituições sem acesso de uma só vez.

Quantos ataques cibernéticos ocorrem na Bélgica por ano?

O CCB recebeu 372 relatos de incidentes em 2024, 556 em 2025 e 588 nos primeiros nove meses de 2026. Esses são apenas os incidentes que as organizações comunicam.

Onde se deve comunicar um ciberataque na Bélgica?

As organizações abrangidas pela lei NIS2 têm de comunicar qualquer incidente significativo à CCB, com um aviso prévio no prazo de 24 horas. As mensagens suspeitas podem ser reencaminhadas para [email protected].

A lei belga relativa à NIS2 aplica-se às PME?

Aplica-se a organizações dos setores indicados que tenham, pelo menos, 50 colaboradores a tempo inteiro ou cujo volume de negócios e total do balanço sejam superiores a 10 milhões de euros. Encontras todos os detalhes no nosso guia sobre a NIS2.