Een hacker is binnengedrongen in eSignFlow, de handtekeningmodule van de Belgische softwareleverancier Vanden Broele. Meerdere gemeenten, waaronder Peer en Genk, waarschuwen hun inwoners voor phishing en valse GAS 5-boetes. Volgens het bedrijf is vooral metadata buitgemaakt.
De digitale inbraak vond vorige week donderdag en vrijdag plaats, op 22 en 23 oktober, maar werd de maandag erop pas ontdekt. Met eSignFlow laten steden en gemeenten documenten digitaal ondertekenen. De module zit verwerkt in toepassingen van C-Smart en Cipal Schaubroeck en wordt volgens VRT NWS door meer dan honderd Belgische lokale besturen gebruikt. Hoeveel daarvan precies getroffen zijn, is nog niet bekend.
Volgens CEO Bram Van Impe verschilt de impact sterk per gemeente. Bij de grote meerderheid lekte niets of heel weinig, bij een kleiner aantal ging het om meer gegevens. Vanden Broele brengt elke getroffen gemeente op dit moment op de hoogte van haar exacte situatie.
Metadata, geen valse handtekeningen
Van Impe spreekt vooral over metadata, zoals de naam van iemand die een document heeft ondertekend, soms aangevuld met de titel van dat document. Misbruik van de handtekeningfunctie zelf sluit hij uit. “Er zijn zeker geen handtekeningen gezet geweest in naam van iemand anders. Daar zijn we 1.000 procent zeker van.”
Lokaal loopt de schade uiteen. In Genk en Hasselt zijn volgens de steden zelf geen persoonsgegevens van inwoners gelekt. Wel kwamen e-mailadressen van enkele medewerkers vrij en werden bepaalde documenten opgevraagd.
Vanden Broele sloot de misbruikte toegang af, verving alle toegangssleutels en koppelingen en blokkeerde de bekende IP-adressen van de aanvallers. Het lek zelf is inmiddels gedicht. Het bedrijf meldde het incident bij het Centrum voor Cybersecurity België (CCB) en de Gegevensbeschermingsautoriteit en deed daarbij aangifte bij de politie.
Waarschuwing voor valse GAS 5-boetes
Intussen roepen gemeenten als Peer, Genk, Hasselt en Leopoldsburg hun inwoners op om extra waakzaam te zijn. Ze waarschuwen voor onverwachte e-mails, sms’jes en telefoontjes waarin om persoonlijke gegevens, betaalgegevens, wachtwoorden of codes wordt gevraagd. Ook onverwachte betalingsverzoeken verdienen aandacht en dan vooral berichten over een GAS 5-boete. Dat is een gemeentelijke administratieve sanctie voor parkeerovertredingen. Wie zo’n bericht krijgt, moet zelf even checken of de betaalgegevens overeenkomen met die van de eigen gemeente.
Negentien lokale besturen verwerken hun GAS 5-boetes via C-Smart, dat daarvoor de module van Vanden Broele inzet. C-Smart benadrukt wel dat de getroffen toepassing niet van C-Smart zelf is. Ook Cipal Schaubroeck laat weten dat zijn eigen systemen en modules niet gehackt zijn. In sommige gevallen bestaan er alleen koppelingen met de handtekeningmodule.
Lees ook: Miljoenen personen getroffen bij datalek Deens bevolkingsregister
Publieke sector vaak doelwit
Lokale overheden staan al langer in het vizier van aanvallers. Volgens het CCB was de publieke administratie in 2025 de meest getroffen sector in België. Accountmisbruik, ransomware, DDoS-aanvallen, spearphishing en het misbruiken van kwetsbaarheden kwamen daarbij het vaakst voor.