Datalek bij leverancier van gemeenten: wat betekent het voor jou?
Eind oktober 2026 werd ingebroken bij eSignFlow, software waarmee veel Belgische gemeenten documenten digitaal ondertekenen. Meerdere gemeenten waarschuwen hun inwoners nu voor valse berichten. Je hoeft niets te herstellen, maar het is wel goed om even extra op te letten bij berichten over boetes en attesten.
- Een aanvaller had op 22 en 23 oktober toegang tot eSignFlow van de leverancier Vanden Broele.
- Volgens de leverancier zijn onder meer namen, e-mailadressen, documenttitels en rijksregisternummers van ondertekenaars betrokken. Dat gaat vooral over personeel, mandatarissen en externe ondertekenaars. Of ook inwoners betrokken zijn, verschilt per gemeente.
- Je itsme en je eID zijn niet getroffen, en er zijn geen wachtwoorden om in te loggen op eSignFlow gelekt.
- Het belangrijkste risico is oplichting: een vals bericht dat geloofwaardig lijkt omdat het je naam of een echt dossier vermeldt.
Wat is er aan de hand?
Vanden Broele levert software aan lokale besturen. Volgens VRT NWS gebruiken meer dan 120 besturen de eSignFlow-module om documenten te ondertekenen. De aanval begon op 22 oktober om 03.48 uur en stopte op 23 oktober om 11.17 uur. De aanvaller kwam binnen via een beheeromgeving die vanaf het internet bereikbaar was en gebruikte gestolen sleutels om gegevens op te vragen. De volledige oorzaak wordt nog onderzocht.
De leverancier meldde de aanval bij het Centrum voor Cybersecurity België en de politie. Sinds 24 oktober werkt eSignFlow opnieuw, met nieuwe sleutels en extra bescherming.
Welke gegevens zijn betrokken?
Dat verschilt per persoon en per organisatie. De leverancier beschrijft deze groepen:
- Ondertekenaars: naam, land en rijksregisternummer. Bij een beperkt aantal ook een afbeelding van de handgeschreven handtekening.
- Mensen die in de gegevens van een document staan: naam, e-mailadres, titel van het document en toegangscode.
- Gebruikers bij een organisatie: naam en e-mailadres, geen wachtwoorden.
- Mensen die in een gedownload document staan: de volledige inhoud van dat document. Dat gebeurde bij een klein aantal organisaties.
Eerst klonk het dat de rijksregisternummers gehasht waren, een vorm die je niet zomaar kunt teruglezen. Op 30 oktober stuurde de leverancier dat bij: de nummers zijn makkelijk terug te rekenen, dus je moet ervan uitgaan dat de aanvaller ze kent.
Hoe erg is dit?
Enkel met je rijksregisternummer kan iemand volgens de leverancier niet digitaal tekenen in jouw naam en niet inloggen met itsme of eID, bij overheidsdiensten of bij je bank. Er is ook niets digitaal ondertekend in iemands naam. Merelbeke-Melle meldde op 28 oktober nog geen gevallen van misbruik.
Het risico zit vooral in wat oplichters met de gegevens kunnen doen. Een bericht met je juiste naam en een echte documenttitel lijkt betrouwbaarder. De leverancier noemt als voorbeeld een bericht dat verwijst naar een echt dossier, zoals een GAS-boete (een gemeentelijke boete, bijvoorbeeld voor foutparkeren).
Hoe weet je of jij erbij bent?
Dat is niet altijd duidelijk. Een volledige lijst van getroffen gemeenten vond ik niet, en de leverancier verwittigt mensen niet zelf. Je gemeente of organisatie krijgt het overzicht en beslist of ze je inlicht. Heb je geen bericht gekregen, dan weet je dus niet zeker dat je er niet bij bent. Volg het advies hieronder daarom gewoon sowieso, het kost weinig moeite.
Ook mijn eigen gemeente Oosterzele gebruikt eSignFlow. In haar bericht van 27 oktober schrijft de gemeente dat het enkel om gevoelige interne informatie gaat en dat er geen info van inwoners betrokken is. Ze meldde het incident aan de bevoegde instanties, en voor GAS-boetes is ze niet getroffen. Uit voorzorg vraagt ze wel om waakzaam te blijven. Haar bericht is van vóór de update van de leverancier van 30 oktober. Lees hier het bericht van de gemeente Oosterzele →
Moet de gehackte firma dit niet melden?
Jawel, maar niet alles ligt bij de firma. Volgens de privacywet (GDPR) moet Vanden Broele als leverancier vooral zijn klanten zonder onnodige vertraging verwittigen. De gemeente blijft verantwoordelijk voor de gegevens en moet het lek waar mogelijk binnen 72 uur melden aan de toezichthouder, tenzij een risico voor mensen onwaarschijnlijk is. Voor Vlaamse besturen is dat de Vlaamse Toezichtcommissie. De betrokkenen zelf moeten alleen ingelicht worden als het risico waarschijnlijk hoog is, en soms volstaat dan een openbare mededeling. Wil je weten of jij erbij bent, vraag het dan aan je gemeente.
Wat moet jij doen?
- Wantrouw onverwachte berichten en telefoontjes over een attest, document, handtekening of betaling, ook als je naam klopt.
- Betaal een boete nooit via een link uit een onverwacht bericht. Controleer het rekeningnummer en het bedrag bij je gemeente of politiezone, via contactgegevens die je zelf opzoekt.
- Geef nooit je itsme-code, de pincode van je eID of een wachtwoord door. Gemeenten vragen daar niet naar.
- Open eBox-berichten alleen via de officiële My eBox-omgeving of Mijn Burgerprofiel, niet via een link.
- Stuur verdachte berichten door naar verdacht@safeonweb.be.
- Wordt je identiteit of handtekening misbruikt? Doe aangifte bij de politie en verwittig de organisatie waarvoor je tekende.
Een nieuw wachtwoord is hiervoor niet nodig, want er zijn geen wachtwoorden gelekt om op eSignFlow in te loggen.
Neem zelf contact op met je gemeente, via het nummer of adres op haar officiële website en niet via het bericht zelf. De gemeente Mol vat het kort samen: "Bij twijfel: reageer niet, klik niet en betaal niet." Lees ook Zo herken je een phishing-bericht.
Bronnen
- eSignFlow (Vanden Broele), Veelgestelde vragen incident oktober 2026 (bijgewerkt 30 oktober 2026): esignflow.be
- Gemeente Wevelgem, Datalek bij een van onze leveranciers: wevelgem.be
- Gemeente Mol, Cyberaanval bij leverancier digitale handtekeningen: wees alert voor verdachte berichten (27 oktober 2026): gemeentemol.be
- Gemeente Oosterzele, Beveiligingsincident bij een externe leverancier: wees alert voor oplichting (27 oktober 2026): oosterzele.be
- VRT NWS, Merelbeke-Melle en Destelbergen waarschuwen voor oplichters na datalek bij leverancier (28 oktober 2026): vrt.be
- VRT NWS, bericht over de hack bij de leverancier van lokale besturen (26 oktober 2026): vrt.be
- GDPR, artikel 33 en artikel 34
- Gegevensbeschermingsautoriteit, Een gegevensinbreuk melden en beheren: gegevensbeschermingsautoriteit.be
- Vlaamse Toezichtcommissie, Gegevenslek melden: vlaanderen.be
- The Brussels Times,'Watch out for fake fines and phishing': Software provider local municipalities hacked (27 oktober 2026): brusselstimes.com
Dit artikel is informatief en geen professioneel beveiligingsadvies. Bronnen verschillen soms over details; bij twijfel geldt de officiële informatie van je gemeente, de leverancier en Safeonweb.