Fuites de donnees : 47 entites belges touchees en 2026 (24/10)
Une veille sur le dark web, confirmee par le Centre pour la Cybersecurite Belgique, compte au moins 47 entites belges victimes d'une fuite de donnees depuis janvier 2026. Les signalements d'incidents recus par le CCB depassent deja l'annee 2025 complete. Voici la lecture utile pour une PME des quatre pays, et la liste a traiter cette semaine.
En bref
Le 24 octobre 2026, une depeche Belga a rendu public le resultat d'une veille du quotidien L'Echo sur le dark web, croisee avec celle de la societe Fox&Fish Cyberdefense : au moins 47 entreprises et institutions actives en Belgique ont subi une fuite de donnees depuis le debut de 2026[1]. Le Centre pour la Cybersecurite Belgique (CCB) confirme ce resultat ; il avait comptabilise 40 entites touchees sur l'ensemble de l'annee 2025[1]. Communes, hopitaux, agences de voyages et entreprises privees figurent parmi les victimes : des organisations de taille PME, pas seulement des grands comptes.
Deux comptages, une meme acceleration
Deux series de chiffres circulent cette semaine, et elles ne mesurent pas la meme chose. La premiere est la veille L'Echo-Fox&Fish : 47 entites en 297 jours, du 1er janvier au 24 octobre, soit une organisation exposee tous les 6,3 jours. Le comptage du CCB pour 2025 donnait 40 entites en 365 jours, soit une tous les 9,1 jours[1]. La seconde serie vient du CCB lui-meme, dans sa mise a jour du 15 octobre : 588 signalements d'incidents recus entre le 1er janvier et le 28 septembre 2026, alors que l'annee 2025 entiere s'etait arretee a 556[2]. Ramenes a la journee, ces 588 signalements font 2,17 par jour contre 1,52 en 2025, soit une cadence superieure de 42 %.
| Mesure | 2025, annee complete | 2026, a date |
|---|---|---|
| Entites belges touchees par une fuite (veille L'Echo-Fox&Fish, confirmee par le CCB)[1] | 40 en 365 jours, soit 1 tous les 9,1 jours | 47 en 297 jours, soit 1 tous les 6,3 jours |
| Signalements d'incidents recus par le CCB[2] | 556 en 365 jours, soit 1,52 par jour | 588 au 28 septembre, soit 2,17 par jour |
Les cadences ci-dessus sont des calculs CyberNovaLabs.io a partir des deux sources ; les totaux, eux, sont publies. A cadence constante, les signalements recus par le CCB finiraient l'annee autour de 790 : c'est une projection de notre part, pas un chiffre annonce.
Compromission de systemes et fournisseurs : les deux moteurs
Le CCB publie ces chiffres dans son rapport trimestriel Q3 2026, qu'il a intitule Stormy Weather. La compromission de systemes y est le type d'incident le plus signale, avec un nombre de signalements multiplie par trois par rapport au deuxieme trimestre[2]. Le centre nomme deux amplificateurs : les vulnerabilites de logiciels tres repandus, et les incidents qui touchent un fournisseur et exposent d'un coup plusieurs de ses clients. Il ajoute que l'intelligence artificielle accelere le travail des attaquants, du reperage des failles a la redaction de messages frauduleux credibles et a l'automatisation d'etapes entieres d'une attaque, tout en pouvant servir la defense[2].
Ce second moteur est celui que les PME sous-estiment le plus : on peut etre victime sans avoir ete attaque. Nous l'avons decrit en detail dans notre analyse de l'arret d'Albert Heijn vu du cote d'un fournisseur. Et le point d'entree est souvent plus banal qu'on ne l'imagine : chez Flink, les identifiants d'un ancien salarie ont suffi.
Ce que ca change concretement pour une PME
Les donnees qui fuitent sont rarement spectaculaires prises une a une : noms, dates de naissance, numeros de compte, numeros de telephone, adresses, parfois des photos de famille. Elles se revendent pour quelques centaines d'euros sur le dark web et, recoupees entre elles, elles permettent de cibler precisement une personne pour gagner sa confiance, le plus souvent par hameconnage[1]. Pour une PME, la consequence est operationnelle : vos collaborateurs vont recevoir des messages qui contiennent de vraies informations sur eux, sur vos clients ou sur vos factures. La consigne mefiez-vous des e-mails bizarres ne protege plus, parce que le message n'est plus bizarre.
Deuxieme consequence : le delai. Des qu'une violation de donnees personnelles est constatee, l'article 33 du RGPD impose de la notifier a l'autorite de controle sans retard injustifie et, lorsque c'est possible, dans les 72 heures suivant la prise de connaissance, sauf si elle est peu susceptible d'engendrer un risque pour les personnes ; l'article 34 ajoute l'information des personnes concernees lorsque le risque est eleve[3]. Ces 72 heures ne commencent pas quand votre enquete est terminee : elles commencent quand vous savez. Le registre interne des violations, egalement prevu a l'article 33, est ce qui vous permet de demontrer que le delai a ete tenu[3].
Les quatre pays : a qui notifier une fuite de donnees
Le RGPD est un reglement : le principe et le delai sont identiques aux Pays-Bas, en Belgique, en France et au Luxembourg. Ce qui change, c'est le guichet.
| Pays | Autorite de protection des donnees |
|---|---|
| Belgique | Autorite de protection des donnees (APD / GBA) |
| Pays-Bas | Autoriteit Persoonsgegevens (AP) |
| France | CNIL |
| Luxembourg | CNPD |
Attention a ne pas confondre deux canaux. La notification RGPD porte sur les donnees personnelles. Les entites qui entrent dans le champ de NIS2 ont en plus un signalement d'incident propre a cette reglementation, aupres de l'autorite nationale competente et avec ses propres echeances : nous detaillons le perimetre pays par pays sur notre page NIS2 Belgique et dans notre offre cybersecurite. Une PME hors du champ de NIS2 reste tenue par le RGPD.
Les priorites que le CCB met en avant
Dans la meme publication, le CCB demande aux dirigeants de designer sans attendre les personnes responsables de huit mesures : activer l'authentification multifacteur, en priorite sur la messagerie, les comptes administrateur et les acces distants, en privilegiant les methodes resistantes a l'hameconnage ; corriger les vulnerabilites exposees sur internet en priorisant celles qui sont activement exploitees, puis verifier que le correctif est reellement deploye ; inventorier ce qui est accessible depuis internet et reduire cette exposition au strict minimum ; mettre en place une detection des incidents et une capacite de reaction immediate ; proteger les sauvegardes essentielles et s'assurer que les donnees se restaurent vraiment ; former le personnel a reconnaitre les messages suspects et a verifier par un autre canal toute demande de paiement inhabituelle ; decider a l'avance qui tranche, qui l'on appelle et comment l'activite continue ; enfin examiner l'interet d'une assurance cyber en lisant garanties et exclusions, le CCB precisant qu'elle complete les mesures de securite sans les remplacer[2].
Deux outils gratuits accompagnent cette liste : l'auto-evaluation Safeonweb at Work, pour fixer les premieres priorites[4], et le referentiel CyberFundamentals pour structurer les mesures[2].
- Activer l'authentification multifacteur sur la messagerie et les comptes administrateur, puis verifier qu'aucun acces distant n'en est dispense.
- Lister les comptes des personnes parties depuis douze mois, salaries, stagiaires et prestataires compris, et les fermer.
- Ecrire sur une seule page qui notifie l'autorite, avec quel texte, dans quel delai, et ou se trouve le registre des violations.
- Tester une restauration de sauvegarde sur un dossier reel, pas sur un fichier d'essai.
- Poser a vos trois fournisseurs les plus sensibles une question simple : en combien d'heures nous prevenez-vous si vos systemes sont compromis ? Notre questionnaire de securite fournisseur sert de base.
- Prevenir les equipes que les tentatives d'hameconnage contiendront desormais des informations exactes, et poser la regle : toute demande de paiement ou de changement de compte bancaire se verifie par telephone, sur un numero deja connu.
Chez CyberNovaLabs.io
Nous travaillons avec des PME aux Pays-Bas, en Belgique, en France et au Luxembourg, y compris a Bruxelles, et nous commencons toujours par la meme question : si une fuite etait rendue publique demain, qui decide, qui notifie, et dans quel delai ? Si la reponse ne tient pas sur une page, c'est le premier chantier. Parlons de votre cas en vingt minutes : vous repartez avec les trois mesures qui reduisent le plus votre exposition. Nos prestations sont sur devis.
Sources
- Des centaines de milliers de Belges touches par des fuites de donnees - Belga / La Libre, 24/10/2026
- Figures show a steady rise in incidents: the CCB urges enterprises to act immediately - Centre pour la Cybersecurite Belgique (CCB), 15/10/2026
- Reglement (UE) 2016/679 (RGPD), articles 33 et 34 - EUR-Lex
- Safeonweb at Work - auto-evaluation gratuite (CCB)
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
Cyberattaque au SPF Finances : echeance repoussee (28/10/2026)
Quatre jours sans MyMinfin, Tax-on-Web ni Biztax, et une date limite qui, elle, ne bougeait pas. Aucune donnee n'est sortie : le cout est ailleurs. Ce que la cyberattaque du SPF Finances change concretement pour une PME en Belgique, en France, aux Pays-Bas et au Luxembourg.
Lire l'article →3 novembre 2026 · 9 min de lectureAI Act : ce que les PME doivent savoir en 2026
Applicable depuis le 2 août 2026, l'AI Act tient en trois obligations pour une PME qui achète de l'IA. Les règles lourdes de l'annexe III, elles, attendront le 2 décembre 2027. Voici les dates, les plafonds d'amende réellement opposables à une PME, et qui contrôle aux Pays-Bas, en Belgique, en France et au Luxembourg.
Lire l'article →27 octobre 2026 · 7 min de lectureScript d'appel B2B : la trame qui ne sonne pas comme un script
Un script recite s'entend des la premiere seconde. Voici une trame en six blocs, avec une seule phrase imposee par bloc, les mentions que les autorites exigent dans les quatre pays, et la formule qui dit combien d'appels il faut pour remplir un agenda.
Lire l'article →27 octobre 2026 · 8 min de lectureNIS2 Belgique : cabinets comptables et fiduciaires concernes ?
La comptabilite n'est ni a l'annexe I ni a l'annexe II de la loi belge du 26 avril 2024. Mais une fiduciaire qui gere l'informatique de ses clients peut devenir un fournisseur de services TIC geres, et tous les cabinets subissent la chaine d'approvisionnement de leurs clients assujettis.
Lire l'article →26 octobre 2026 · 8 min de lectureNIS2 Pays-Bas : industrie et production sont-elles concernées ?
Aux Pays-Bas, NIS2 s'appelle la Cyberbeveiligingswet et elle est en vigueur depuis le 15 août 2026. Pour une usine, le critère n'est pas « je fabrique quelque chose » : six catégories précises de l'annexe II décident, puis la taille. Ce guide donne la grille, l'autorité compétente, le guichet d'enregistrement et les délais.
Lire l'article →25 octobre 2026 · 8 min de lectureNIS2 France : santé, cliniques et laboratoires concernés ?
La santé est bien à l'annexe I de NIS2, et pourtant aucune obligation NIS2 n'est opposable en France au 25 octobre 2026. Pendant ce temps, un autre texte français impose déjà le signalement sans délai à cinq catégories de structures, laboratoires de biologie médicale compris. Voici lequel, et quoi faire.
Lire l'article →