Signatures électroniques piratées chez Vanden Broele : des communes appellent à se méfier des faux messages

Le vendredi 23 octobre 2026 au matin, Vanden Broele repère une activité suspecte sur ses serveurs. Vers midi, cet éditeur de logiciels pour les pouvoirs locaux débranche eSignFlow, son module de signature électronique : un pirate y avait trouvé une porte d’entrée. Plus de 100 communes s’en servent pour faire signer leurs documents en ligne, selon la VRT.

Depuis le lundi 26 octobre, plusieurs villes limbourgeoises préviennent leurs habitants : Genk, Peer, Saint-Trond, Bourg-Léopold et Beringen, ainsi que la zone de police Regio West-Limburg, d’après la VRT. Leur crainte : que des escrocs se servent des données volées pour envoyer des messages très convaincants.

Des noms et des titres de documents

Interrogé par la VRT, le directeur général de Vanden Broele, Bram Van Impe, affirme que le pirate a surtout emporté des métadonnées : le nom d’une personne qui a signé un document, et le titre de ce document. Il se dit certain qu’aucune signature n’a été apposée au nom de quelqu’un d’autre. L’ampleur varie d’une commune à l’autre : rien ou très peu pour la grande majorité, davantage pour quelques-unes. Les documents qui transitent par eSignFlow peuvent toutefois contenir des informations sensibles, note la VRT.

Le nombre de communes touchées n’était pas connu le 26 octobre. L’entreprise promettait à chacune une analyse d’impact pour le soir même. Elle dit avoir coupé l’accès utilisé par le pirate, remplacé toutes ses clés d’accès et ses connexions avec d’autres logiciels, bloqué les adresses IP connues des attaquants et corrigé la faille. eSignFlow est revenu en ligne le samedi 24 octobre au soir, avec quelques restrictions. L’incident a été signalé au Centre pour la cybersécurité Belgique, à l’Autorité de protection des données et à la police.

Le module sert aussi, par l’intermédiaire du prestataire C-Smart, à la signature électronique des amendes administratives de stationnement (les « GAS 5 » en néerlandais) dans 19 communes. Cipal Schaubroeck, un autre fournisseur des communes, assure ne pas être touché. Et toutes les communes ne sont pas clientes : Sint-Katelijne-Waver a fait savoir qu’elle n’achète aucun produit de cette firme.

Pourquoi un titre de document suffit à un escroc

Un nom et un intitulé paraissent anodins. C’est pourtant la matière première d’un hameçonnage réussi. Un message qui mentionne l’amende que vous avez réellement reçue, ou l’attestation que vous avez réellement demandée à votre commune, paraît bien plus authentique qu’un courriel générique. Le faux conseiller bancaire fonctionne de la même façon : il cite un détail vrai pour obtenir le reste (on en a parlé ICI).

Peer demande donc aux habitants qui ont demandé une attestation à la ville de se méfier de toute communication inattendue à ce sujet. Ceux qui reçoivent un message à propos d’une amende doivent vérifier le numéro de compte avant de payer.

Les bons réflexes, d’où que vienne le message

• Ne cliquez pas sur un lien reçu par courriel ou SMS à propos d’une amende, d’une attestation ou d’un document communal. Tapez vous-même l’adresse du site de votre commune.
• Ne communiquez jamais un mot de passe, un code itsme ou un code de votre lecteur de carte bancaire, ni par téléphone ni par message.
• En cas de doute sur une demande de paiement, contactez la commune par ses coordonnées officielles, jamais par celles du message.
• Transférez les courriels suspects à suspect@safeonweb.be, l’adresse du Centre pour la cybersécurité.
• Si vous avez donné vos données bancaires, appelez Card Stop au 078 170 170, puis votre banque.

En bref

• Un pirate s’est introduit dans eSignFlow, le module de signature électronique de Vanden Broele utilisé par plus de 100 communes ; l’éditeur l’a débranché le 23 octobre 2026.
• Selon l’éditeur, il a surtout emporté des noms de signataires et des titres de documents ; aucune signature n’a été falsifiée.
• Genk, Peer, Saint-Trond, Bourg-Léopold et Beringen mettent leurs habitants en garde contre de faux messages.
• Méfiez-vous de tout message sur une amende ou une attestation communale, et passez par les coordonnées officielles.

Sources : VRT NWS, 26 octobre 2026, déclarations de Vanden Broele, C-Smart et Cipal Schaubroeck ; VRT NWS, 26 octobre 2026, avertissements des communes limbourgeoises ; commune de Sint-Katelijne-Waver, 26 octobre 2026 ; Safeonweb, Centre pour la cybersécurité Belgique.

Le Bien Heureux · Rédaction Capibara · Mardi 27 octobre 2026