FAQ - cyberattaque octobre 2026

Le 23 octobre, nous avons détecté un incident de sécurité affectant eSignFlow. Cette page vous informe de ce qui s’est passé, de ce que cela implique pour vous et des mesures que nous prenons. 

Généralités

Que s’est-il passé et la situation est-elle maîtrisée ? 

Les 22 et 23 octobre 2026, un attaquant externe a obtenu un accès à des données dans eSignFlow. L’attaque s’est déroulée du 22 octobre à 3 h 48 au 23 octobre à 11 h 17. Notre équipe a détecté l’incident le 23 octobre à 9 h 30 et a mis eSignFlow hors ligne dans l’après-midi. 

Depuis le samedi 24 octobre vers 20 h, eSignFlow est de nouveau en ligne, avec de nouvelles clés et des mesures de protection supplémentaires. L’attaquant s’est introduit via un environnement d’administration accessible depuis l’extérieur. L’analyse complète des causes est attendue pour la semaine du 9 novembre.

Suis-je concerné.e, ou mon organisation l’est-elle ? 

L’incident ne visait pas une organisation en particulier. Il a touché une grande partie des organisations qui utilisent eSignFlow. Le 25 octobre, une partie des organisations a reçu un courrier présentant nos premières constatations. Le 26 octobre, chaque organisation dont des données étaient concernées a reçu un e-mail donnant accès à un dossier sécurisé contenant les données qui la concernent. 

Vous n’avez pas reçu d’e-mail de notre part le 26 octobre ? Certains messages ont été envoyés à une adresse obsolète. Écrivez à ciso@vandenbroele.be en nous indiquant l’adresse à laquelle vous souhaitez désormais recevoir les notifications de sécurité, de préférence une adresse fonctionnelle de votre service ICT ou de votre service chargé de la protection des données. 

Quelles données sont concernées ?

Les personnes concernées ne sont pas uniquement des citoyens. Il s’agit de toute personne dont des données figuraient dans eSignFlow pour le compte de votre organisation : membres du personnel et mandataires, mais aussi tiers tels que des fournisseurs, des organisations partenaires ou des collaborateurs d’autres administrations. 

Nous distinguons trois groupes de personnes, auxquels s’ajoutent les utilisateurs de votre organisation. Une même personne peut relever de plusieurs groupes. La situation propre à votre organisation est détaillée, personne par personne, dans l’aperçu disponible dans votre dossier sécurisé.

Groupe	Données concernées	Ce que cela implique
1. Personnes figurant dans un document téléchargé	L’intégralité du contenu du document. Cela ne concerne qu’un petit nombre d’organisations ; l’aperçu figurant dans votre dossier le mentionne si c’est votre cas.	L’attaquant connaît le contenu du document.
2. Signataires internes et externes	Nom, pays (généralement BE) et numéro de registre national. Dans un nombre limité de cas, également l’image de la signature manuscrite.	Le numéro de registre national était stocké sous forme hachée, mais la valeur d’origine peut facilement être retrouvée. Partez du principe que l’attaquant le connaît. Cette information rectifie notre courrier du 25 octobre.
3. Personnes figurant dans les données d’un document	Nom, adresse e-mail, titre du document et code d’accès.	Le contenu du document était dès lors accessible.
Utilisateurs de votre organisation	Nom et adresse e-mail. Aucun mot de passe.	Risque de phishing.

 

Non concernés : les comptes itsme personnels et les cartes eID. Les données itsme révoquées sont liées à l’intégration entre eSignFlow et itsme, et non aux personnes. 

L'aperçu peut-il encore évoluer ?

Oui. L’enquête forensique peut mettre au jour de nouveaux éléments. Le cas échéant, nous vous enverrons une nouvelle version en indiquant les modifications apportées. 

Mes documents signés sont-ils toujours valables ? 

Oui. L’attaquant n’a signé numériquement aucun document au nom de votre organisation ou d’un signataire. Aucun document ne doit être signé à nouveau. 

Puis-je continuer à utiliser eSignFlow et les autres applications en toute sécurité ? 

Oui. L’environnement d’administration n’est plus accessible depuis l’extérieur, toutes les clés ont été remplacées, les adresses IP connues de l’attaquant ont été bloquées et les logs font l’objet d’une surveillance renforcée. 

Cela a deux conséquences. D’une part, l’imprimante eSignFlow, le bulk uploader et les intégrations ne fonctionneront à nouveau qu’avec une nouvelle clé. D’autre part, les documents dont l’attaquant a consulté les données ont reçu un nouveau mot de passe : l’ancien lien ne fonctionne plus, y compris pour les destinataires légitimes. Les documents dont les données n’ont pas été consultées conservent leur mot de passe. Les documents qui n’étaient initialement pas protégés par un mot de passe (en fonction des paramètres configurés), mais dont l’attaquant a consulté les données, en ont tout de même reçu un. 

Que dois-je faire maintenant ?

• Avertir les utilisateurs du risque de phishing : par exemple au moyen d’e-mails se faisant passer pour une demande de signature ou pour un message de Vanden Broele. 
• Informer les personnes concernées : évaluez, groupe par groupe, si cela est nécessaire. Utilisez à cet effet la lettre type jointe à notre e-mail du 26 octobre.
• Notifier l'incident : évaluez s’il y a lieu de le notifier à l’APD, à la Vlaamse Toezichtcommissie, au COC ou, si vous relevez de NIS2, au CCB. Plus bas sur cette page, vous trouverez une aide au remplissage de votre notification à l'APD et au CCB.
• Reconfigurer les intégrations avec l’aide du helpdesk.
• Communiquer une adresse de contact pour les futures notifications de sécurité, via ciso@vandenbroele.be. 

Comment reconnaître une communication authentique de votre part, et où trouver les mises à jour ? 

Les messages relatifs à cet incident proviennent de ciso@vandenbroele.be. Les demandes de signature émises par eSignFlow proviennent de no-reply@esignflow.be. Nous ne vous demanderons jamais vos mots de passe, vos codes itsme ni le code PIN de votre carte d’identité. Le code à usage unique permettant d’ouvrir le dossier sécurisé est envoyé par Microsoft. 

Les mises à jour sont publiées sur cette page. Pour toutes questions relatives à l’incident : ciso@vandenbroele.be. Pour toute questions relatives à l’utilisation d’eSignFlow (imprimante, bulk uploader, intégrations) : helpdesk@esignflow.be ou 050 67 14 38, pendant les heures de bureau. 

____________________________________________________________________________________________________________

Accédez directement aux informations qui vous concernent 

• Clients et gestionnaires de compte
• Administrateurs IT
• DPO / juridique / conformité
• Signataires externes

 

1. Pour les clients et gestionnaires de compte

Devons-nous informer nos propres signataires ou clients ? 

Il revient à votre organisation, en tant que responsable du traitement, d’en décider, y compris pour les signataires externes qui ne font pas partie de votre personnel. Nous ne contactons pas directement les personnes concernées. Évaluez, groupe par groupe, si le risque est suffisamment élevé pour justifier une communication individuelle (article 34 du RGPD). Selon nous, c’est le plus manifestement le cas pour les groupes 1 et 2, mais la décision vous appartient. Pour le groupe 3, tout dépend de ce que contiennent le titre ou les données du document. 

Utilisez à cet effet la lettre type jointe à l’e-mail adressé aux clients, disponible en néerlandais et en français. Elle comporte un module par groupe ainsi qu’une version adaptée aux zones de police. Pour chaque personne, vous sélectionnez les modules applicables. N’utilisez pas la lettre type pour les documents concernant des mineurs : il appartient alors à votre propre service de déterminer comment informer les personnes concernées. Les personnes que vous n’informez pas individuellement peuvent être touchées par un avertissement général. Vous trouverez un exemple de texte dans la note explicative jointe à notre e-mail. 

Devons-nous faire signer à nouveau des documents ? 

Non. Voir la question « Mes documents signés sont-ils toujours valables ? » 

Qu’en est-il des documents dont le flux de signature était en cours pendant l’incident ? 

eSignFlow a été hors ligne du 23 octobre après-midi au 24 octobre vers 20 h. Les flux en cours ont repris. 

Pour les documents dont les données ont été consultées par l’attaquant, le mot de passe a été modifié. Le code d’accès, lui, est inchangé. 

L’ancien mot de passe figure toujours sur la ligne de vérification (PDF). Si ce mot de passe fonctionne encore, le document ne fait pas partie de ceux dont les données ont été consultées. S’il ne fonctionne plus, vous trouverez le nouveau mot de passe dans l’écran de détail du dossier. 

Les sauvegardes et archives sont-elles touchées ? Y a-t-il eu une perte de données ? 

Non. Tout ce que l’attaquant a créé ou modifié dans eSignFlow a été inventorié et restauré à son état antérieur. 

Pourquoi ne l’apprenons-nous que maintenant (ou par la presse) ? 

Nous avons détecté l’incident le 23 octobre à 9 h 30 et envoyé une première notification le jour même. Le 25 octobre, une partie des organisations a reçu un courrier présentant nos premières constatations. Une nouvelle analyse approfondie a ensuite révélé que la liste des utilisateurs avait été téléchargée pour un plus grand nombre d’organisations. Le 26 octobre, chaque organisation concernée a reçu l’ensemble des données via un dossier sécurisé. Certains messages ont été envoyés à une adresse obsolète. Communiquez-nous donc l’adresse à laquelle vous souhaitez désormais recevoir les notifications de sécurité, de préférence une adresse fonctionnelle de votre service ICT ou de votre service chargé de la protection des données. 

Qui est notre interlocuteur ? 

Questions relatives à l’incident : ciso@vandenbroele.be. Questions relatives à l’utilisation d’eSignFlow : le helpdesk, à l’adresse helpdesk@esignflow.be ou au 050 67 14 38. En cas d’urgence : votre account manager. 

Quelles mesures prenez-vous pour éviter que cela ne se reproduise ? 

L’environnement d’administration n’est plus accessible depuis l’extérieur. Toutes les clés ont été remplacées, les adresses IP connues de l’attaquant ont été bloquées et les logs font l’objet d’une surveillance renforcée. Les composants vulnérables des serveurs ont été isolés ou sont en cours de remplacement. 

L’analyse complète des causes par vecteur d’attaque, assortie des mesures visant à prévenir toute récidive, est attendue pour la semaine du 9 novembre. 

L’authentification via Active Directory est-elle toujours sûre ? 

Oui. L’authentification via Active Directory reste sûre et figure, avec l’eID et FAS, parmi les méthodes d’authentification les plus sûres. Les environnements Active Directory externes n’ont à aucun moment été affectés. 

D’autres applications de Vanden Broele sont-elles touchées ? 

Il s’agit d’une seule et même attaque, mais l’attaquant a également tenté d’autres voies d’accès, notamment via des serveurs sous-jacents et eGovFlow. Chacun de ces vecteurs fait l’objet d’une analyse distincte. Les applications telles qu’eGovFlow n’ont elles-mêmes pas été compromises. Nous prévoyons de finaliser l’analyse des causes par vecteur d’attaque dans la semaine du 9 novembre. Nous vous informerons ensuite des résultats et des mesures prises.

2. Pour les administrateurs IT

Devons-nous renouveler nos clés API, jetons ou webhooks ? 

Toutes les clés ont déjà été remplacées : les clés API de l’ensemble des organisations et des intégrations, les clés secrètes des webhooks, les clés de l’intégration itsme et les clés système internes. Les anciennes clés ne fonctionnent plus. 

L’imprimante eSignFlow, le bulk uploader et les intégrations avec vos propres applications ne fonctionneront à nouveau qu’avec une nouvelle clé. Si vous avez vous-même désactivé SSO ou OAuth, l’enregistrement de l’application doit être refait. Le helpdesk vous transmettra le guide et vous assistera pour la configuration. 

Nos intégrations (API, SSO) présentent-elles un risque pour notre propre réseau ? 

Non. L’attaquant a utilisé les clés dérobées pour se faire passer pour un utilisateur via l’API eSignFlow et consulter des données au sein d’eSignFlow. 

Pouvons-nous obtenir les logs d’activité de notre compte ? 

Vous recevrez un aperçu propre à votre organisation reprenant les documents concernés (titre, ID du document, date de création, statut), les signataires concernés et la liste des utilisateurs. Cet aperçu est transmis uniquement au point de contact connu de votre organisation et à votre DPO. Vous ne l’avez pas reçu ou vous avez des questions à son sujet ? Écrivez à ciso@vandenbroele.be. 

Y a-t-il eu une indisponibilité, et une maintenance est-elle encore prévue ? 

eSignFlow a été hors ligne du 23 octobre après-midi au samedi 24 octobre vers 20 h. Aucune maintenance supplémentaire n’est prévue à ce stade.

3. DPO / juridique / conformité

L’Autorité de protection des données a-t-elle été informée, et quand ? 

Vanden Broele a notifié l’incident au Centre pour la Cybersécurité Belgique (CCB) le 23 octobre et à l’Autorité de protection des données (APD) le 25 octobre, pour les données dont nous sommes nous-mêmes responsables du traitement. Nous avons également porté plainte auprès de la police. 

Pour les données traitées dans eSignFlow, vous êtes responsable du traitement et nous agissons en tant que sous-traitant. Il vous appartient donc d’évaluer s’il y a lieu de notifier l’incident à l’APD, à la Vlaamse Toezichtcommissie, au COC ou, si vous relevez de NIS2, au CCB. 

Devons-nous attendre votre aperçu pour notifier l’incident ? 

Non. Vous pouvez effectuer la notification sur la base des informations dont vous disposez actuellement et la compléter par la suite. 

Aide au remplissage de votre notification à l'APD et au CCB

Vous êtes responsable du traitement pour les données traitées dans eSignFlow. C'est donc à vous de décider si vous notifiez l'incident. Pour vous y aider, nous reprenons, formulaire par formulaire, ce que vous pouvez compléter. Ce document suit, champ par champ, les formulaires en ligne de l'Autorité de protection des données (APD) et du Centre pour la Cybersécurité Belgique (CCB).

Vous pouvez reprendre tels quels les faits relatifs à l'incident chez Vanden Broele. Ce qui figure entre [ ] est à compléter par vos soins, le plus souvent avec les chiffres de notre courrier du 25 octobre 2026 ou de l'export pour votre organisation. Cette aide est un outil. Elle ne remplace pas votre propre appréciation.

• Aide à la notification APD (pdf)
• Aide à la notification CCB (pdf) : obligatoire uniquement pour les organisations relevant de NIS2 ; les autres organisations peuvent notifier volontairement.

Pour toute question complémentaire, n'hésitez pas à contacter ciso@vandenbroele.be.

Je n’arrive pas à ouvrir le dossier sécurisé 

Utilisez l’adresse à laquelle vous avez reçu le lien. Le guide joint à notre e-mail explique comment vous connecter. Microsoft n’accorde pas l’accès aux adresses génériques (telles que info@ ou privacy@) : communiquez-nous une adresse nominative via ciso@vandenbroele.be. Si un collègue a également besoin d’un accès, faites-en la demande via ciso@vandenbroele.be. En cas de problème de connexion, écrivez à servicedesk@vandenbroele.be. 

Quelles informations recevons-nous pour effectuer nous-mêmes la notification en tant que responsable du traitement ? 

L’e-mail du 25 et/ou du 26 octobre présente nos premières constatations pour votre organisation. Vous recevez en outre, dans un dossier sécurisé propre à votre organisation, l’aperçu des documents et des signataires concernés ainsi que la liste des utilisateurs, transmis uniquement à votre point de contact connu et à votre DPO. 

Attention : le courrier du 25 et/ou du 26 octobre indiquait que le numéro de registre national était haché. Or, la valeur d’origine peut facilement être retrouvée. Partez du principe que l’attaquant connaît ce numéro et intégrez cet élément dans votre analyse de risques. 

Cet incident relève-t-il de NIS2 ou d’eIDAS ? 

Nous avons notifié l’incident au CCB. Si votre organisation relève elle-même de NIS2, l’incident peut également être soumis à une obligation de notification de votre part ; les détails à ce sujet figurent dans votre dossier sécurisé du 26 octobre. 

La piste d’audit est-elle intacte ? Pouvons-nous toujours prouver qui a signé et à quel moment ? 

Oui. Les opérations d’écriture de l’attaquant ne concernent que des documents qu’il a lui-même créés, et elles ont été annulées. La ligne de vérification (le PDF) de chaque document reste disponible et juridiquement valable. 

Quelqu’un a-t-il pu signer au nom d’un signataire ? 

Non. L’attaquant n’a signé numériquement aucun document au nom de votre organisation ou d’un signataire. Il n’avait accès ni au compte itsme personnel ni à l’eID de qui que ce soit ; les données itsme révoquées sont liées à l’intégration entre eSignFlow et itsme, et non aux personnes. 

Des clés de signature ou des certificats ont-ils été compromis ? 

Non. Aucun certificat client n’a fuité. Les clés de l’intégration itsme et les clés système internes ont été remplacées par mesure de précaution. 

S’agissait-il d’un ransomware ? Une rançon a-t-elle été payée ? 

Non. L’attaquant s’est limité à consulter des données au sein de l’application et, dans un nombre limité de cas, à télécharger des documents. Aucune rançon n’a été demandée. Nous avons notifié l’incident au CCB et à l’APD, et porté plainte auprès de la police. 

4. Pour les signataires externes

Pourquoi détenez-vous mes données ? Je ne suis pas client. 

Vous avez signé ou reçu un document émanant d’une organisation qui utilise eSignFlow, par exemple votre commune, ou vous êtes mentionné dans un tel document. Vanden Broele traite ces données pour le compte de cette organisation. 

Qui est responsable de mes données : vous ou l’organisation qui m’a demandé de signer ? 

L’organisation qui vous a demandé de signer. C’est elle qui décide si et comment elle vous informe, même si vous n’en faites pas partie. Vanden Broele ne contacte pas directement les personnes concernées. 

Auprès de qui puis-je exercer mes droits (accès, effacement) ? 

Auprès de l’organisation qui vous a demandé de signer, via son délégué à la protection des données (DPO). Si vous nous contactez, nous transmettrons votre demande à cette organisation.

J’ai reçu une invitation à signer. Est-elle authentique ? 

Attendiez-vous un document de cette organisation ? En cas de doute, ne cliquez pas et contactez vous-même l’organisation via un canal que vous connaissez. Ne communiquez jamais vos codes itsme, le code PIN de votre carte d’identité ni vos mots de passe, pas même à une personne qui affirme représenter cette organisation. Si un lien plus ancien ne fonctionne plus, cela peut être dû à l’incident : certains documents ont reçu un nouveau mot de passe. 

Dois-je porter plainte auprès de la police ? 

Non, Vanden Broele a déjà porté plainte. Vous constatez que quelqu’un utilise votre identité ou votre signature, par exemple sur un document qui vous est inconnu ou dans le cadre d’une demande que vous n’avez pas introduite ? Dans ce cas, portez plainte auprès de la police et prévenez l’organisation qui vous a demandé de signer. 

J’ai reçu un message concernant une amende SAC. À quoi dois-je être attentif ? 

Redoublez de vigilance dans les semaines à venir. Lors de l’incident, des noms, des adresses e-mail et des titres de documents ont pu tomber entre les mains de l’attaquant. Un escroc peut dès lors faire référence à un dossier réel, par exemple une amende SAC, et paraître ainsi crédible.

• Ne payez pas via un lien figurant dans un e-mail ou un SMS inattendu, ni à la suite d’un appel inattendu, même si votre nom ou votre dossier y est correctement mentionné. 

• Vérifiez le numéro de compte et le montant auprès de votre commune ou de votre zone de police, via un canal que vous identifiez vous-même, tel que son site web ou son numéro de téléphone général. 

• Une commune ou une zone de police ne vous demandera jamais vos codes itsme, le code PIN de votre carte d’identité ni vos mots de passe. 

• Un doute ? Contactez le service SAC ou le fonctionnaire sanctionnateur de votre commune. Vous pouvez transférer les messages suspects à suspicious@safeonweb.be. 

• Vous avez déjà effectué un paiement vers un numéro de compte suspect ? Prévenez immédiatement votre banque et portez plainte auprès de la police. 

 

Avez-vous d'autres questions ?

Notre helpdesk est à votre disposition via les canaux habituels :

• Téléphone : 050 67 14 38 (pendant les heures de bureau)
• E-mail: helpdesk@esignflow.be