Op 22 en 23 oktober 2026 kreeg een aanvaller via een van buitenaf bereikbare beheeromgeving toegang tot gegevens in eSignFlow, de ondertekensoftware van Vanden Broele die veel Vlaamse gemeenten en bedrijven gebruiken. Er werd niets in iemands naam ondertekend, maar namen, e-mailadressen, documenttitels en rijksregisternummers kwamen in handen van de aanvaller.
De les reikt verder dan deze ene hack bij Vanden Broele. Wordt uw softwareleverancier gehackt, dan blijft u zelf verantwoordelijk voor de gegevens van uw klanten, medewerkers of burgers: u beslist of u meldt bij de Gegevensbeschermingsautoriteit en wie u inlicht.
In het kort
- De aanval liep van 22 oktober 2026 om 03:48 tot 23 oktober om 11:17. Vanden Broele haalde eSignFlow op 23 oktober offline en zette het op 24 oktober weer online.
- eSignFlow wordt volgens Vanden Broele gebruikt door meer dan 2.360 organisaties; het incident raakte volgens het bedrijf een groot deel daarvan.
- Er werd niets ondertekend in iemands naam en er werd geen losgeld gevraagd. Ondertekende documenten blijven geldig.
- Het grootste risico is gerichte oplichting met echte namen, documenten en dossiers.
- Voor de gegevens in eSignFlow is elke klant zelf verwerkingsverantwoordelijke en dus zelf aan zet voor melden en inlichten.
Wat is er gebeurd bij eSignFlow?
eSignFlow is de toepassing van Vanden Broele waarmee organisaties documenten laten goedkeuren, digitaal ondertekenen en verzenden. Gemeenten gebruiken ze onder meer voor attesten en GAS-boetes, vaak gekoppeld aan andere bestuurssoftware. Volgens de eigen FAQ van Vanden Broele, laatst bijgewerkt op 30 oktober 2026, verliep het incident zo:
| Wanneer | Wat |
|---|---|
| 22 oktober, 03:48 | Begin van de aanval |
| 23 oktober, 09:30 | Vanden Broele stelt het incident vast en meldt het dezelfde dag bij het Centrum voor Cybersecurity België |
| 23 oktober, 11:17 | Einde van de aanval; ’s middags gaat eSignFlow offline |
| 24 oktober, rond 20:00 | eSignFlow weer online, met nieuwe sleutels en extra afscherming |
| 25 oktober | Eerste brief aan een deel van de klanten; melding bij de Gegevensbeschermingsautoriteit |
| 26 oktober | Elke betrokken organisatie krijgt een beveiligde map met haar gegevens en een modelbrief |
De aanvaller kwam binnen via een beheeromgeving die van buitenaf bereikbaar was. De volledige oorzaak werd op 30 oktober nog onderzocht. Volgens Vanden Broele probeerde de aanvaller ook andere wegen, onder meer naar onderliggende servers en de toepassing eGovFlow, maar werd die niet binnengedrongen. Van een dader of claim is niets bekend.
Welke gegevens lekten, en wat kan een oplichter ermee?
Vanden Broele deelt de betrokken personen in groepen in. Wat lekte, verschilt per groep.
| Wie | Welke gegevens | Grootste risico |
|---|---|---|
| Ondertekenaars, intern en extern | Naam, land en rijksregisternummer; bij een beperkt aantal ook de afbeelding van de handgeschreven handtekening | Zich als iemand voordoen bij een aanvraag of contact |
| Personen in documentgegevens | Naam, e-mailadres, titel van het document en de toegangscode | Een geloofwaardig bericht over een echt document, een factuur of een boete |
| Personen in een gedownload document | De volledige inhoud, bij een klein aantal organisaties | Gerichte benadering met details uit het document |
| Gebruikers van de organisatie | Naam en e-mailadres, geen wachtwoorden | Phishing die zich voordoet als eSignFlow, Vanden Broele of een collega |
Het rijksregisternummer stond er volgens Vanden Broele in een omgezette vorm die eenvoudig terug te rekenen is; het bedrijf corrigeerde daarmee zijn eigen brief van 25 oktober. Wat niet geraakt is: wachtwoorden, persoonlijke itsme-accounts en eID-kaarten. Met een naam en een rijksregisternummer kan niemand digitaal ondertekenen of inloggen bij de overheid of de bank.
Hoe dat er voor één gemeente uitziet, toont Wevelgem. De gemeente meldde op 27 oktober dat het ging om gegevens uit 158 documenten en een gebruikerslijst van 181 gebruikers, en waarschuwde inwoners voor gerichte phishing. Ook onder meer Merelbeke-Melle en Destelbergen waarschuwden hun inwoners.
Uw softwareleverancier is gehackt: wie meldt wat?
Dit is de vraag die het incident voor elke organisatie interessant maakt, ook buiten de gemeenten. Voor de gegevens in een toepassing als eSignFlow is de klant verwerkingsverantwoordelijke en de leverancier verwerker. Dat bepaalt wie wat doet.
- De leverancier licht zijn klanten zonder onnodige vertraging in, meldt bij de toezichthouders voor de gegevens waarvoor hij zelf verantwoordelijk is, en levert de informatie waarmee klanten zelf kunnen melden. Vanden Broele meldde bij het CCB op 23 oktober en bij de GBA op 25 oktober, en deed aangifte bij de politie. Betrokkenen contacteert het bedrijf niet rechtstreeks.
- De klant beoordeelt zelf of hij een datalek meldt. Bij de Gegevensbeschermingsautoriteit moet dat binnen 72 uur nadat u ervan weet, ook als het overzicht van de leverancier nog niet volledig is: een melding kan later aangevuld worden. Hoe dat in zijn werk gaat, leest u in ons artikel over een datalek melden bij de GBA. Vlaamse besturen kunnen ook bij de Vlaamse Toezichtcommissie moeten melden, politiezones bij het COC.
- De klant licht betrokkenen in als het risico hoog is. Vanden Broele vond dat het meest voor de hand liggen voor ondertekenaars en personen in gedownloade documenten, maar de beslissing ligt bij de klant.
- Valt de klant onder NIS2, dan kan het incident ook bij het CCB gemeld moeten worden, met een vroege waarschuwing binnen 24 uur. Het schema staat in ons artikel over een NIS2-incident melden bij het CCB. Lokale besturen vallen niet allemaal onder NIS2, maar volgens de Vlaamse overheid moeten ook de andere besturen significante incidenten meteen melden en tegen 1 januari 2030 minstens het basisniveau van CyberFundamentals halen.
Wat ketenverantwoordelijkheid onder NIS2 precies vraagt van uw leveranciers, staat in ons artikel over NIS2 en ketenverantwoordelijkheid.
Acht vragen voor uw leverancier
De vragen hieronder volgen uit wat Vanden Broele zelf aan zijn klanten bezorgde: een overzicht per organisatie, een modelbrief, een invulhulp voor de meldingen en nieuwe sleutels. Ze werken voor elke softwareleverancier.
- Welke gegevens van ons zaten in de toepassing, en welke werden ingezien, opgevraagd of gedownload?
- Wanneer begon en eindigde de toegang, en wanneer stelde u het vast?
- Hoe kwam de aanvaller binnen, en is die weg nu dicht?
- Moeten wij zelf iets vernieuwen: sleutels, koppelingen, wachtwoorden of instellingen in onze eigen omgeving?
- Bij welke toezichthouders hebt u gemeld, en voor welke gegevens?
- Welke informatie krijgen wij om zelf te melden, en wanneer?
- Is er een modelbrief of een voorbeeldtekst om betrokkenen in te lichten?
- Op welk adres krijgen wij voortaan beveiligingsmeldingen?
De laatste vraag lijkt een detail, maar bij eSignFlow kwam een deel van de berichten op verouderde adressen terecht. Vanden Broele vraagt daarom een functioneel adres van de ICT- of privacydienst. Leg dat adres vooraf vast in de verwerkersovereenkomst, samen met de meldtermijnen.
Wat doet u als inwoner, klant of medewerker?
Het grootste risico zit nu in berichten die geloofwaardig lijken omdat ze uw naam, een echt document of een echt dossier noemen, bijvoorbeeld een ondertekenverzoek, een factuur of een GAS-boete. Gemeenten en Vanden Broele raden aan:
- Klik niet op links in onverwachte mails of sms’en over een document, een handtekening of een betaling, ook niet als uw naam klopt.
- Controleer een boete of betaling bij uw gemeente of politiezone via een kanaal dat u zelf opzoekt.
- Geef nooit itsme-codes, de pincode van uw identiteitskaart of wachtwoorden door.
- Stuur verdachte berichten door naar verdacht@safeonweb.be. Meer daarover in ons artikel over phishing melden in België.
“Daar kan je als klant toch niets aan doen”
Voor de hack zelf klopt dat grotendeels: een klant beheert de servers van zijn leverancier niet. Maar alles wat daarna gebeurt, ligt wel bij de klant: melden, inlichten, eigen koppelingen vernieuwen en medewerkers waarschuwen. En vooraf kan de klant meer dan hij denkt: weten welke gegevens bij welke leverancier staan, meldtermijnen en een contactadres vastleggen, en vragen hoe de leverancier zijn beheeromgevingen afschermt. Hoe een hack bij een leverancier een bedrijf kan platleggen, beschrijven we in ons artikel over supply-chainaanvallen, en voor lokale besturen in het bijzonder in cybersecurity voor lokale besturen.
Uw leveranciers en meldprocedures op orde
Cyberplan helpt organisaties in een NIS2-traject om te weten welke leveranciers welke gegevens beheren, welke afspraken daarover nodig zijn en hoe een melding verloopt als het misgaat. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Vraag de gratis scan aan.
Veelgestelde vragen
Wat is er gebeurd bij eSignFlow?
Van 22 oktober 2026 om 03:48 tot 23 oktober om 11:17 had een aanvaller toegang tot gegevens in eSignFlow, de ondertekensoftware van Vanden Broele. Hij kwam binnen via een beheeromgeving die van buitenaf bereikbaar was. Vanden Broele haalde eSignFlow op 23 oktober offline en zette het op 24 oktober weer online.
Welke gegevens zijn bij de hack van eSignFlow gelekt?
Van ondertekenaars naam, land en rijksregisternummer, bij enkelen ook een afbeelding van de handtekening; van personen in documentgegevens naam, e-mailadres, documenttitel en toegangscode; van gebruikers naam en e-mailadres. Bij een klein aantal organisaties werden volledige documenten gedownload. Wachtwoorden, itsme-accounts en eID’s zijn niet geraakt.
Zijn documenten die met eSignFlow ondertekend zijn nog geldig?
Ja. Volgens Vanden Broele heeft de aanvaller op geen enkel moment in iemands naam ondertekend, en is alles wat hij aanmaakte of wijzigde teruggedraaid. Documenten hoeven niet opnieuw ondertekend te worden. De verificatie-pdf van elk document blijft rechtsgeldig, en ondertekenaars hoeven hun eID of itsme niet te vervangen.
Wie moet het datalek melden: de leverancier of de klant?
Allebei, elk voor zijn rol. Voor de gegevens in eSignFlow is de klant verwerkingsverantwoordelijke en Vanden Broele verwerker. Vanden Broele meldde bij het CCB en de GBA. Elke klantorganisatie beoordeelt zelf of ze binnen 72 uur meldt bij de GBA, eventueel bij de Vlaamse Toezichtcommissie of het COC, en onder NIS2 bij het CCB.
Ging het om ransomware?
Nee. Volgens Vanden Broele vroeg de aanvaller enkel gegevens op binnen de applicatie en haalde hij in een beperkt aantal gevallen documenten binnen. Er werd geen losgeld gevraagd en er werd niets versleuteld. Het bedrijf meldde het incident bij het CCB en de GBA en deed aangifte bij de politie.
Wat kan iemand met mijn rijksregisternummer?
Zich als u voordoen bij een aanvraag of een contact met een organisatie, en u geloofwaardiger benaderen. Digitaal ondertekenen of inloggen bij de overheid of uw bank kan niet met enkel een naam en rijksregisternummer. Ziet u dat iemand uw identiteit gebruikt, doe dan aangifte bij de politie en verwittig de organisatie die u liet tekenen.
