Veelgestelde vragen 

Laatst bijgewerkt op 26/10/2026 om 23.30 u.

Op 23 oktober stelden we een beveiligingsincident vast bij eSignFlow. Op deze pagina houden we u op de hoogte van wat er is gebeurd, wat het voor u betekent en wat we doen.

Algemeen

Wat is er gebeurd, en is het probleem onder controle?

Op 22 en 23 oktober 2026 kreeg een externe aanvaller toegang tot gegevens in eSignFlow. De aanval liep van 22 oktober 03:48 tot 23 oktober 11:17. Ons team stelde het incident vast op 23 oktober om 09:30 en haalde eSignFlow die middag offline.

Sinds zaterdag 24 oktober rond 20:00 staat eSignFlow weer online, met nieuwe sleutels en extra afscherming. De aanvaller kwam binnen via een beheeromgeving die van buitenaf bereikbaar was. De volledige oorzaakanalyse verwachten we in de week van 9 november.

Ben ik (of is mijn organisatie) getroffen?

Het incident was niet op één organisatie gericht. Het raakte een groot deel van de organisaties die eSignFlow gebruiken. Op 25 oktober kreeg een deel van de organisaties een brief met onze eerste vaststellingen. Op 26 oktober kreeg elke organisatie waarvan
gegevens betrokken waren een mail met een beveiligde map met de gegevens voor haar organisatie.

Kreeg u op 26 oktober geen mail van ons? Een aantal berichten kwam bij een verouderd adres terecht. Mail naar ciso@vandenbroele.be en geef meteen het adres waarop u voortaan beveiligingsmeldingen wilt krijgen, liefst een functioneel adres van uw ICT- of privacydienst.

Welke gegevens zijn betrokken?

Betrokkenen zijn niet alleen burgers. Het gaat om iedereen van wie gegevens in eSignFlow stonden voor uw organisatie: ook medewerkers en mandatarissen, en externen zoals leveranciers, partnerorganisaties of medewerkers van andere besturen.

We onderscheiden drie groepen personen, plus de gebruikers van uw organisatie. Eén persoon kan in meer dan één groep vallen. Wat voor uw organisatie geldt, staat in het overzicht in uw beveiligde map. Het overzicht voor uw organisatie toont het per persoon.

Groep

Welke gegevens

Wat dat betekent

1. Personen in een gedownload document

De volledige inhoud van het document. Dit gebeurde bij een klein aantal organisaties; het overzicht in uw map vermeldt het als het bij u zo is.

De aanvaller kent de inhoud.

2. Ondertekenaars, intern en extern

Naam, land (meestal BE) en rijksregisternummer. Bij een beperkt aantal ook de afbeelding van de handgeschreven handtekening.

Het rijksregisternummer stond er gehasht, maar die vorm is eenvoudig terug te rekenen. Ga ervan uit dat de aanvaller het kent. Dit is een rechtzetting van onze brief van 25 oktober.

3. Personen in documentgegevens

Naam, e-mailadres, titel van het document en de toegangscode.

De inhoud was daardoor bereikbaar. 

Gebruikers van uw organisatie

Naam en e-mailadres. Geen wachtwoorden.

Risico op phishing.

Niet geraakt: persoonlijke itsme-accounts en eID-kaarten. De ingetrokken itsme-gegevens horen bij de koppeling van eSignFlow met itsme, niet bij de persoon.

Kan het overzicht nog veranderen?

Ja. Het forensisch onderzoek kan nieuwe vaststellingen opleveren. Wij sturen u dan een nieuwe versie en geven aan wat gewijzigd is.

Zijn mijn ondertekende documenten nog geldig?

Ja. De aanvaller heeft geen documenten digitaal ondertekend in naam van uw organisatie of van een ondertekenaar. U hoeft niets opnieuw te laten ondertekenen.

Kan ik eSignFlow en andere applicaties veilig blijven gebruiken?

Ja. De beheeromgeving is van buitenaf afgesloten, alle sleutels zijn vervangen, de gekende IP-adressen van de aanvaller zijn geblokkeerd en de logs worden extra bewaakt.

Dat heeft twee gevolgen. De eSignFlow-printer, de bulkuploader en koppelingen werken pas weer met een nieuwe sleutel. En documenten waarvan de aanvaller de gegevens opvroeg, kregen een nieuw wachtwoord: de oude link werkt ook voor rechtmatige ontvangers niet meer. Documenten die de aanvaller niet opvroeg, houden hun wachtwoord. Documenten die initieel geen wachtwoord hadden (op basis van de ingestelde parameters) maar waarvan de aanvaller de gegevens opvroeg hebben we toch van een wachtwoord voorzien.

Wat moet ik nu doen?

  • Gebruikers waarschuwen voor phishing, bijvoorbeeld mails die zich voordoen als ondertekenverzoek of als bericht van Vanden Broele.
  • Betrokkenen inlichten: beoordeel per groep of dat nodig is. Gebruik daarvoor de modelbrief, die als bijlage bij onze mail van 26 oktober zit.
  • Melden: beoordeel of u meldt bij de GBA, de Vlaamse Toezichtcommissie, het COC of, als u onder NIS2 valt, bij het CCB.
  • Koppelingen opnieuw instellen met hulp van de helpdesk.
  • Contactadres doorgeven voor toekomstige beveiligingsmeldingen, via ciso@vandenbroele.be.

Hoe herken ik echte communicatie van jullie, en waar vind ik updates?

Berichten over dit incident komen van ciso@vandenbroele.be. Ondertekenverzoeken uit eSignFlow komen van no-reply@esignflow.be. We vragen nooit naar wachtwoorden, itsme-codes of de pincode van uw identiteitskaart. De eenmalige code om de beveiligde map te openen komt van Microsoft.

Updates verschijnen op deze pagina. Vragen over het incident: ciso@vandenbroele.be. Vragen over het gebruik van eSignFlow (printer, bulkuploader, koppelingen): helpdesk@esignflow.be of 050 67 14 38, tijdens de kantooruren.

Klik door naar de informatie die voor u het meest relevant is

1. Voor klanten en accountbeheerders

Moeten we onze eigen ondertekenaars of klanten verwittigen?

Dat beslist uw organisatie, als verwerkingsverantwoordelijke, ook voor externe ondertekenaars die niet bij u werken. Wij contacteren geen betrokkenen rechtstreeks. Beoordeel per groep of het risico hoog genoeg is om personen individueel in te lichten (artikel 34 AVG). Volgens ons ligt dat voor groep 1 en 2 het meest voor de hand, maar de beslissing ligt bij u. Groep 3 hangt af van wat er in de titel of de gegevens van het document staat.

Gebruik daarvoor de modelbrief die als bijlage bij de klantmailing zit, in het Nederlands en het Frans. Hij heeft een module per groep en een aangepaste versie voor politiezones. U kiest per persoon de modules die van toepassing zijn. Voor documenten over minderjarigen gebruikt u de modelbrief niet: daar beslist uw eigen dienst hoe u de betrokkenen inlicht. Personen die u niet individueel inlicht, kunt u bereiken met een algemene waarschuwing. Een voorbeeldtekst vindt u in de toelichting bij onze mail.

Moeten we documenten opnieuw laten ondertekenen?

Nee. Zie "Zijn mijn ondertekende documenten nog geldig?".

Wat met documenten die tijdens het incident in een flow zaten?

Van 23 oktober in de middag tot 24 oktober rond 20:00 stond eSignFlow offline. De lopende flows zijn hervat.

Voor documenten waarvan de gegevens door de aanvaller werden opgevraagd, werd het wachtwoord gewijzigd. De toegangscode bleef ongewijzigd.

Op de verificatieregel (PDF) staat nog steeds het oorspronkelijke wachtwoord vermeld. Werkt dit wachtwoord nog, dan behoort het document niet tot de documenten waarvan de gegevens werden opgevraagd. Werkt het wachtwoord niet meer, dan vindt u het nieuwe wachtwoord in het detailscherm van het dossier.

Zijn back-ups en archieven getroffen? Is er dataverlies?

Nee. Alles wat de aanvaller in eSignFlow aanmaakte of wijzigde, is opgelijst en teruggedraaid.

Waarom horen we dit pas nu (of via de pers)?

We stelden het incident vast op 23 oktober om 09:30 en stuurden dezelfde dag een eerste melding. Op 25 oktober kreeg een deel van de organisaties een brief met onze eerste vaststellingen. Bij een grondige heranalyse bleek dat bij meer organisaties de gebruikerslijst gedownload werd. Op 26 oktober kreeg elke betrokken organisatie de volledige gegevens via een beveiligde map. Een aantal berichten kwam bij een verouderd adres terecht. Geef ons daarom het adres waarop u voortaan beveiligingsmeldingen wilt krijgen, liefst een functioneel adres van uw ICT- of privacydienst.

Wie is onze contactpersoon?

Vragen over het incident: ciso@vandenbroele.be. Vragen over het gebruik van eSignFlow: de helpdesk, helpdesk@esignflow.be of 050 67 14 38. Dringend? Uw accountmanager.

Welke maatregelen nemen jullie zodat dit niet opnieuw gebeurt?

De beheeromgeving is van buitenaf afgesloten. Alle sleutels zijn vervangen, de gekende IP-adressen van de aanvaller geblokkeerd en de logs worden extra bewaakt. De kwetsbare onderdelen op de servers zijn afgeschermd of worden vervangen.

De volledige oorzaakanalyse per aanvalsweg, met de maatregelen om herhaling te voorkomen, verwachten we in de week van 9 november.

Is het nog veilig om aan te melden met Active Directory?

Ja. Aanmelden via Active Directory blijft veilig en behoort, samen met eID en FAS, tot de veiligste aanmeldmethoden. Er was op geen enkel moment impact op externe Active Directory-omgevingen.

Zijn er nog andere applicaties van Vanden Broele geïmpacteerd?

Het was één aanval, maar de aanvaller probeerde ook andere wegen, onder meer op onderliggende servers en op eGovFlow. Elk van die wegen onderzoeken we afzonderlijk. Toepassingen zoals eGovFlow werden zelf niet binnengedrongen. We verwachten de oorzaakanalyse per aanvalsweg in de week van 9 november af te ronden. Daarna informeren we u over de resultaten en de maatregelen.

2. Voor IT-beheerders

Moeten we API-sleutels, tokens of webhooks vernieuwen?

Alle sleutels zijn al vervangen: de API-sleutels van alle organisaties en koppelingen, de beveiligingssleutels voor webhooks, de koppeling met itsme en de interne systeemsleutels. De oude werken niet meer.

De eSignFlow-printer, de bulkuploader en koppelingen met eigen toepassingen werken pas weer met een nieuwe sleutel. Hebt u SSO of OAuth zelf uitgeschakeld, dan moet de app-registratie opnieuw. De helpdesk bezorgt de handleiding en helpt bij de configuratie.

Vormen onze integraties (API, SSO) een risico voor ons eigen netwerk?

Nee. De aanvaller gebruikte de gestolen sleutels om zich via de eSignFlow-API als gebruiker voor te doen en gegevens op te vragen binnen eSignFlow.

Kunnen we activiteitslogs van ons account krijgen?

U krijgt een overzicht voor uw organisatie met de betrokken documenten (titel, document-ID, aanmaakdatum, status), de betrokken ondertekenaars en de gebruikerslijst. Het gaat enkel naar het gekende contactpunt van uw organisatie en uw DPO. Ontbreekt het, of hebt u er vragen over? Mail naar ciso@vandenbroele.be.

Was er downtime en volgt er nog onderhoud?

eSignFlow was offline van 23 oktober in de middag tot zaterdag 24 oktober rond 20:00. Voorlopig is geen bijkomend onderhoud gepland.

3. Voor DPO / juridisch / compliance

Is de Gegevensbeschermingsautoriteit verwittigd en wanneer?

Vanden Broele meldde het incident bij het Centrum voor Cybersecurity België (CCB) op 23 oktober en bij de GBA op 25 oktober, voor de gegevens waarvoor wij zelf verwerkingsverantwoordelijke zijn. We deden ook aangifte bij de politie.

Voor de gegevens in eSignFlow bent u verwerkingsverantwoordelijke en zijn wij verwerker. U beoordeelt dus zelf of u meldt bij de GBA, de Vlaamse Toezichtcommissie, het COC of, als u onder NIS2 valt, bij het CCB.

Moeten wij op jullie overzicht wachten om te melden?

Nee. U kunt melden met wat u nu weet en uw melding later aanvullen.

Ik kan de beveiligde map niet openen

Gebruik het adres waarop u de link ontving. De handleiding bij onze mail legt uit hoe u zich aanmeldt. Groepsadressen (zoals info@ of
privacy@) krijgen van Microsoft geen toegang: geef ons via ciso@vandenbroele.be een persoonlijk adres. Heeft een collega ook toegang nodig, vraag dat dan via ciso@vandenbroele.be. Lukt het aanmelden niet, mail dan naar servicedesk@vandenbroele.be.

Welke info krijgen we om zelf als verwerkingsverantwoordelijke te melden?

De mail van 25 en/of 26 oktober bevat onze eerste vaststellingen voor uw organisatie. Daarnaast krijgt u het overzicht in een beveiligde map voor uw organisatie met de betrokken documenten, ondertekenaars en de gebruikerslijst, enkel via uw gekende contactpunt en uw DPO.

Let op: in de brief van 25 en/of 26 oktober stond dat het rijksregisternummer gehasht was. Die vorm is eenvoudig terug te rekenen. Ga ervan uit dat de aanvaller het nummer kent, en neem dat mee in uw risicoanalyse.

Valt dit onder NIS2 of eIDAS?

Wij meldden het incident bij het CCB. Valt uw organisatie zelf onder NIS2, dan kan het ook voor u meldplichtig zijn; de details daarvoor staan in uw beveiligde map van 26 oktober.

Is de audit trail intact? Kunnen we nog bewijzen wie wanneer tekende?

Ja. De schrijfacties van de aanvaller zijn enkel terug te vinden op documenten die hij zelf aanmaakte, en ze zijn teruggedraaid. De verificatieregel (de PDF) van elk document blijft beschikbaar en rechtsgeldig.

Kan iemand in naam van een ondertekenaar getekend hebben?

Nee. De aanvaller heeft geen documenten digitaal ondertekend in naam van uw organisatie of van een ondertekenaar. Hij had geen toegang tot iemands persoonlijke itsme-account of eID; de ingetrokken itsme-gegevens horen bij de koppeling van eSignFlow met itsme, niet bij de persoon.

Zijn signing-sleutels of certificaten gecompromitteerd?

Nee. Er zijn geen certificaten van klanten gelekt. De koppeling met itsme en de interne systeemsleutels zijn uit voorzorg vervangen.

Ging het om ransomware? Is er losgeld betaald?

Nee. De aanvaller vroeg enkel gegevens op binnen de applicatie en haalde in een beperkt aantal gevallen documenten binnen. Er werd geen losgeld gevraagd. We meldden het incident bij het CCB en de GBA en deden aangifte bij de politie.

4. Voor externe ondertekenaars

Waarom hebben jullie mijn gegevens? Ik ben geen klant.

U ondertekende, ontving of staat vermeld in een document van een organisatie die eSignFlow gebruikt, bijvoorbeeld uw gemeente. Vanden Broele verwerkt die gegevens in opdracht van die organisatie.

Wie is verantwoordelijk voor mijn gegevens: jullie of de organisatie die mij liet tekenen?

De organisatie die u liet tekenen. Zij beslist of en hoe ze u inlicht, ook als u er niet werkt. Vanden Broele contacteert betrokkenen niet rechtstreeks.

Bij wie kan ik mijn rechten uitoefenen (inzage, verwijdering)?

Bij de organisatie die u liet tekenen, via haar functionaris voor gegevensbescherming (DPO). Contacteert u ons, dan bezorgen we uw vraag aan die organisatie.

Ik kreeg een uitnodiging om te tekenen. Is die echt?

Verwacht u een document van die organisatie? Twijfelt u, klik dan niet en neem zelf contact op met de organisatie via een kanaal dat u kent. Geef nooit uw itsme-codes, de pincode van uw identiteitskaart of wachtwoorden door, ook niet aan iemand die zegt van die organisatie te zijn. Werkt een oudere link niet meer, dan kan dat door het incident: sommige documenten kregen een nieuw wachtwoord.

Moet ik aangifte doen bij de politie?

Nee, Vanden Broele deed zelf aangifte. Ziet u dat iemand uw identiteit of handtekening gebruikt, bijvoorbeeld op een document dat u niet kent of bij een aanvraag die u niet deed? Doe dan aangifte bij de politie en verwittig de organisatie die u liet tekenen.

Hebt u nog andere vragen?

Dan kunt u onze helpdesk contacteren via de gekende kanalen: