Cyberaanvallen op Belgische bedrijven: het overzicht

Laatste update: 13 september 2026. Incidenten en cijfers gecontroleerd tot en met begin september 2026.

Wie de berichtgeving over cyberaanvallen in België volgt, krijgt een vertekend beeld. In de pers verschijnen de grote namen: een ziekenhuis dat operaties annuleert, een telecomoperator met 850.000 getroffen klantenaccounts, een luchthaven waar de check-in met de hand gebeurt. Wat u niet leest, is wat er bij de bedrijven om de hoek gebeurde.

Dit overzicht brengt samen wat wél gedocumenteerd is: publiek bevestigde incidenten bij Belgische organisaties sinds 2020, de meest recente cijfers van het Centrum voor Cybersecurity België, de Federale Politie en de Gegevensbeschermingsautoriteit, en de vraag waarom het beeld over kmo’s structureel onvolledig blijft.

De cijfers in het kort

• Het Centrum voor Cybersecurity België ontving in 2025 635 incidentmeldingen, bijna 70 procent meer dan in 2024. Daarvan waren er 556 cybergerelateerd, met accountovername (144) en ransomware (105) als grootste categorieën.
• Safeonweb kreeg in 2025 9.929.354 doorgestuurde verdachte berichten, gemiddeld zo’n 27.000 per dag. In de eerste helft van 2026 liep dat op tot meer dan 40.000 per dag.
• De Federale Politie registreerde in 2025 73.290 feiten van informaticacriminaliteit, 8,9 procent meer dan in 2024. Phishing steeg met 30 procent tot ongeveer 11.300 registraties.
• De Gegevensbeschermingsautoriteit ontving in 2025 1.216 meldingen van datalekken, 16 procent minder dan in 2024, terwijl het aantal klachten met 67 procent steeg tot 1.394.
• Volgens de Veiligheidsmonitor doet slechts 21 procent van de slachtoffers van voltooide phishing aangifte, en 4 procent bij een poging.

Publiek gedocumenteerde cyberincidenten in België

De tabel bevat uitsluitend incidenten die bevestigd zijn door de getroffen organisatie, door een toezichthouder of door gevestigde media. Claims die enkel op leksites van aanvallers verschenen, staan er niet in. Leksites zijn een afpersingsinstrument, geen bron.

Industrie en logistiek

De incidenten bij Picanol, TVH en Duvel Moortgat hebben één ding gemeen: de schade zat niet in gestolen data maar in stilstand. Bij TVH liep de interne communicatie via WhatsApp omdat e-mail plat lag. Bij Groep Verhelst vernietigden de aanvallers eerst de back-ups en eisten ze pas daarna losgeld, een volgorde die in bijna elk recent ransomwaredossier terugkomt.

Zorg, overheid en onderwijs

De aanval op AZ Monica in januari 2026 is het zwaarste recente voorbeeld van wat stilstand in de zorg betekent: geannuleerde operaties, overgebrachte patiënten en een ziekenhuis dat dagenlang met beperkte capaciteit draaide. Bij Stad Antwerpen en de gemeente Héron ging het om loketdiensten die niet meer konden werken. Bij Limburg.net ging het om diefstal: de gegevens van bijna 300.000 personen. Hogeschool VIVES legde haar systemen zelf plat en hield zo de gegevens buiten bereik.

Een apart patroon zijn overbelastingsaanvallen. Die op VDAB in 2024 kwam vermoedelijk van buiten Europa. Die op de websites van steden en provincies in 2024 en op MyGov.be en de militaire inlichtingendienst in 2025 werden opgeëist door de pro-Russische groep NoName057(16). Ze stelen geen gegevens, maar volgen de politieke actualiteit: de steun aan Oekraïne of een uitspraak van een minister.

De leverancier als toegangsweg

De grootste Belgische incidenten van 2025 en 2026 hebben opvallend vaak dezelfde oorsprong: niet de getroffen organisatie zelf, maar een leverancier. Brussels Airport werd geraakt via de check-insoftware van Collins Aerospace. De Staatsveiligheid via een kwetsbaarheid in software van Ivanti. De 270 Belgische organisaties uit het Fortinet-dossier via IT-partners die hun firewalls beheren.

Ook het incident bij IT-dienstverlener ConsulTIC past in dat patroon. Het staat niet in de tabel: in juni 2026 verscheen alleen een claim van de aanvallers op hun leksite, en de omvang is niet onafhankelijk bevestigd.

Een inbraak bij een leverancier is voor aanvallers een hefboom: één toegang levert tientallen netwerken op. Dat maakt uw leverancierskeuze een beveiligingsbeslissing, geen inkoopbeslissing.

Wat de officiële Belgische cijfers tonen

Twee bewegingen lopen hier uiteen. Het CCB krijgt veel meer meldingen, deels omdat NIS2 en DORA organisaties verplichten om te melden. De Gegevensbeschermingsautoriteit krijgt minder datalekmeldingen maar veel meer klachten. Dat laatste betekent niet dat er minder lekken zijn: het betekent dat burgers vaker zelf aan de bel trekken.

Waarom aanvallen op kmo’s zelden het nieuws halen

Het beeld dat criminelen alleen grote namen viseren, klopt niet. Het komt voort uit een datagat met drie oorzaken.

Ten eerste doet een kleine minderheid van de slachtoffers aangifte. Bij voltooide phishing is dat 21 procent, bij een poging 4 procent.

Ten tweede bestaat er geen algemene publicatieplicht. De AVG verplicht organisaties om datalekken binnen 72 uur vertrouwelijk te melden bij de Gegevensbeschermingsautoriteit, en NIS2-entiteiten melden bij het CCB. Maar een kmo die geraakt wordt zonder dat er persoonsgegevens betrokken zijn, hoeft niets naar buiten te brengen. Die incidenten worden binnenskamers opgelost met de IT-partner of de verzekeraar.

Ten derde worden kmo’s anders geraakt. Het Fortinet-dossier van 2026 laat dat goed zien: van de minstens 270 Belgische organisaties waren de meeste kleinere bedrijven, zoals transportbedrijven en advocatenkantoren. Niemand koos hen uit om hun naam. Ze werden geraakt omdat hun firewall beheerd werd door een partner wiens inloggegevens gestolen waren. Bij meer dan honderd van die organisaties lagen de inloggegevens volgens Secutec bij publicatie nog vrij online.

Welke sectoren geraakt worden, en hoe dat aansluit op NIS2

Wat er in de Belgische incidenten steeds terugkeert

Wie de dossiers naast elkaar legt, ziet dat succesvolle aanvallen zelden het gevolg zijn van geavanceerde technieken. Het CCB rapporteert accountovername als de grootste incidentcategorie van 2025, vóór ransomware. Volgens de Gegevensbeschermingsautoriteit waren menselijke fouten in 2024 de belangrijkste oorzaak van gemelde datalekken. En de zwaarste recente dossiers liepen via een leverancier.

Dat leidt tot vier maatregelcategorieën die in vrijwel elke evaluatie terugkomen.

1. Mens en identiteit. Terugkerende phishingsimulaties en training verhogen de meldingsbereidheid, waardoor een IT-team gewaarschuwd wordt voordat een aanvaller zijn rechten verhoogt. Meervoudige authenticatie hoort op elke externe toegang.
2. Periodieke toetsing. Audits en penetratietesten leggen configuratiefouten, standaardwachtwoorden en te ruime toegangsrechten bloot voordat iemand anders ze vindt.
3. Voorbereiding op een incident. Een vooraf opgesteld responsplan met rollen, communicatielijnen en escalatiepaden bepaalt hoe snel u handelt. Wat u de eerste uren doet, staat in ons artikel over de eerste zeven stappen.
4. Leveranciers en keten. Leg beveiligingseisen contractueel vast met uw IT-partners en softwareleveranciers, met afspraken over auditrechten, patchtermijnen en tijdige incidentmelding. De dossiers van 2025 en 2026 tonen waarom.

“Zo’n overzicht is angstverkoop”

Dat verwijt is terecht wanneer een publicatie werkt met alarmerende taal, anonieme dreigingen of opgeklopte schadebedragen. Daarom staat in dit overzicht geen enkel incident dat niet bevestigd is, en geen enkel cijfer zonder bron en jaartal.

Wat overblijft, is nuchter. De geannuleerde operaties bij AZ Monica, de stilstand bij Duvel Moortgat en de handgeschreven boardingpassen op Brussels Airport zijn feitelijk gedocumenteerd. De meldplichten onder NIS2 en de AVG vloeien voort uit wetgeving, niet uit een verkoopgesprek. En een periodieke audit verhoudt zich tot een bedrijf zoals een keuring tot bedrijfsmaterieel: geen paniekmaatregel, wel een voorwaarde voor continuïteit.

Waar staat uw organisatie?

De incidenten hierboven begonnen bijna allemaal op dezelfde plek: een account dat overgenomen werd, een systeem dat niet gepatcht was, of een leverancier met te veel toegang. Dat zijn dingen die u kunt nagaan zonder dat er eerst iets misgaat.

Cyberplan voert een scan uit die uw externe blootstelling in kaart brengt: welke systemen zichtbaar zijn vanaf het internet, waar meervoudige authenticatie ontbreekt en welke kwetsbaarheden openstaan. Loopt er nu iets mis, dan is de snelste route onze interventiepagina.

Veelgestelde vragen

Moet een Belgisch bedrijf een cyberaanval openbaar maken?

Voor reguliere ondernemingen geldt geen algemene publicatieplicht. Datalekken met persoonsgegevens moeten binnen 72 uur vertrouwelijk gemeld worden aan de Gegevensbeschermingsautoriteit. Bedrijven die onder NIS2 vallen, melden significante incidenten daarnaast bij het CCB.

Hoeveel cyberincidenten vinden er jaarlijks plaats in België?

Het CCB ontving in 2025 635 incidentmeldingen, bijna 70 procent meer dan in 2024. Safeonweb kreeg dat jaar 9.929.354 verdachte berichten doorgestuurd, en de Federale Politie registreerde 73.290 feiten van informaticacriminaliteit.

Wat was de zwaarste recente cyberaanval in België?

Qua maatschappelijke impact de ransomware-aanval op AZ Monica in januari 2026: minstens 70 geannuleerde operaties, zeven overgebrachte kritieke patiënten en een ziekenhuis dat dagenlang met beperkte capaciteit draaide. Qua aantal getroffen personen het datalek bij Orange Belgium in 2025, met 850.000 klantenaccounts.

Welke sectoren worden het vaakst getroffen?

De recente Belgische dossiers raken vooral overheden, zorg, telecom, luchtvaart, maakindustrie en voeding. In 2025 en 2026 kwamen de zwaarste incidenten opvallend vaak binnen via een softwareleverancier of IT-partner.

Is losgeld betalen verboden in België?

Voor private ondernemingen is betalen niet strafbaar, maar de Federale Politie en het CCB ontraden het met klem. Betaling biedt geen garantie op dataherstel, financiert het criminele verdienmodel en vergroot de kans op herhaalde afpersing.

Waarom worden incidenten bij kmo’s zelden bekend?

Buiten de vertrouwelijke meldplicht bij de Gegevensbeschermingsautoriteit bestaat er geen verplichting om een hack publiek te maken. Uit vrees voor reputatieschade lossen kmo’s incidenten discreet op, en slechts een minderheid van de slachtoffers doet aangifte.

Lopen kleine kmo’s minder risico dan grote bedrijven?

Nee. Kmo’s worden zelden gericht uitgekozen, maar wel geraakt via kwetsbare systemen of via hun IT-partner. Het Fortinet-dossier van 2026 trof minstens 270 Belgische organisaties, voor het merendeel kleinere bedrijven.

Wat is het verschil tussen een cyberincident en een datalek?

Een cyberincident is een kwaadwillige actie tegen een informatiesysteem, zoals een besmetting of een overbelastingsaanval. Een datalek is een inbreuk die leidt tot verlies van of ongeoorloofde toegang tot persoonsgegevens. Dat kan het gevolg zijn van een hack, maar evengoed van een menselijke fout.

Is aangifte doen bij de politie zinvol?

Ja. Een formele aangifte is doorgaans noodzakelijk voor de afhandeling van een claim bij uw cyberverzekeraar. Daarnaast levert ze gegevens voor gerechtelijk onderzoek en helpt ze om criminele infrastructuur te ontmantelen.

Wat doet u eerst bij een vermoeden van een hack?

Verbreek onmiddellijk de netwerkverbinding van de getroffen toestellen, maar schakel ze niet uit. Het werkgeheugen bevat sporen die forensisch onderzoek nodig heeft.