Tout est parti d’un message aperçu sur X ce matin. Une personne y affirmait qu’un pirate avait récupéré des données personnelles via eSignFlow, une plateforme de signature électronique utilisée par de nombreuses administrations belges. Parmi les informations potentiellement compromises : des numéros de registre national et même des signatures manuscrites.
Bim ! De quoi attirer mon attention. D’autant que les premières déclarations du fournisseur évoquaient surtout une fuite de « métadonnées ». Un mot suffisamment technique pour rassurer ceux qui ne savent pas exactement ce qu’il recouvre. J’ai créé un encart plus bas pour vous expliquer ça simplement.
J’ai donc creusé un peu, en cherchant des sources officielles plutôt que de simplement reprendre les affirmations circulant sur les réseaux sociaux. Et ce que certaines communes belges ont publié mérite qu’on s’y attarde.
eSignFlow est une plateforme de signature électronique développée par l’entreprise belge Vanden Broele. Elle permet notamment aux administrations locales de faire signer des documents officiels sans passer par les traditionnels échanges de papier datant des années 80. Pratique pour les citoyens, efficace pour les communes. Jusqu’au moment où quelqu’un décide de s’inviter dans le système sans autorisation.
Les 22 et 23 octobre 2026, un pirate informatique a exploité une vulnérabilité de la plateforme. Selon les communications de Vanden Broele, l’intrusion a été détectée le 23 octobre et le service temporairement interrompu.
La plateforme a été remise en ligne le 24 octobre, après correction de la faille et renforcement des mesures de sécurité. L’incident a également été signalé aux autorités compétentes.
Mais corriger une serrure après une effraction ne permet pas de savoir immédiatement ce que le cambrioleur a emporté.
Dans ses premières déclarations à la presse, Bram Van Impe, directeur général de Vanden Broele, expliquait que les informations concernées étaient essentiellement des métadonnées : noms des signataires, titres des documents et autres renseignements associés aux procédures administratives. Il précisait également qu’aucune signature frauduleuse n’avait été effectuée à travers la plateforme.
Rassurant ? En partie. Mais une métadonnée n’est pas forcément anodine. Et les communiqués publiés par plusieurs administrations permettent de mieux comprendre pourquoi.
Prenons la commune de Wevelgem qui a communiqué sur le sujet, en Flandre-Occidentale. Selon ses informations officielles, le pirate a demandé des données relatives à 158 documents, ainsi qu’une liste de 181 utilisateurs, comprenant leurs noms et adresses électroniques. Les informations accessibles pouvaient notamment comprendre les titres des documents, les signataires, les destinataires, des notes et même des codes d’accès associés aux documents. On commence à s’éloigner de la simple date de modification d’un fichier Word.
La commune précise néanmoins que l’enquête doit encore déterminer quels documents ont réellement été consultés. Une distinction importante : demander des informations ne signifie pas nécessairement avoir téléchargé tous les documents correspondants.
La commune de Pelt, dans le Limbourg, a également publié des informations précises. Elle fait état de 324 documents concernés par des requêtes, associés à 186 habitants. Selon son analyse, aucun de ces documents n’aurait été ouvert ou téléchargé.
Par contre, les noms et dates de naissance des personnes concernées pouvaient être accessibles. Les adresses électroniques de 95 agents communaux figuraient également parmi les données exposées. La commune annonce que les citoyens concernés seront informés personnellement.
Ces chiffres ne représentent évidemment pas le bilan au niveau national. Ils illustrent simplement ce que l’on découvre lorsqu’une administration détaille publiquement les conséquences de l’incident.
C’est précisément l’un des éléments qui m’avaient interpellé dans le message publié sur X. Celui-ci affirmait que des numéros de registre national avaient été exposés sous une forme « hachée », mais que cette protection serait facilement contournable. Il évoquait également la divulgation de certaines signatures manuscrites.
À ce stade, je n’ai pas trouvé dans les communications officielles consultées de confirmation suffisamment précise permettant de déterminer combien de numéros de registre national ou de signatures manuscrites ont effectivement été compromis. Il faut donc distinguer les affirmations circulant sur les réseaux sociaux des faits publiquement établis.
Le problème technique soulevé reste néanmoins sérieux. Le hachage transforme une donnée en une empreinte numérique, mais il ne garantit pas toujours son anonymat. Les numéros de registre national belges suivent une structure prévisible : selon l’algorithme utilisé et les protections ajoutées, un attaquant pourrait retrouver certains numéros en comparant des empreintes calculées à partir de valeurs plausibles.
Quant aux signatures manuscrites, leur éventuelle divulgation pourrait faciliter des tentatives de falsification documentaire. Cela ne signifie pas qu’un pirate pourrait automatiquement créer une signature électronique qualifiée valide. Ces deux questions méritent donc des réponses techniques précises de la part du fournisseur.
Le hachage est une technique informatique qui transforme une information, comme un numéro de registre national, en une suite de caractères appelée empreinte numérique. Cette transformation est réalisée par une fonction mathématique conçue pour fonctionner dans un seul sens.
Contrairement au chiffrement, le hachage ne se déchiffre pas avec une clé. Mais un pirate peut essayer des valeurs possibles, calculer leur empreinte et comparer les résultats. Lorsqu’il trouve une correspondance, il retrouve la donnée d’origine sans avoir inversé la fonction mathématique.
Or, les numéros de registre national belges possèdent une structure connue, notamment liée à la date de naissance et à des chiffres de contrôle. Cela réduit considérablement le nombre de combinaisons plausibles à tester. Si un système utilise un hachage simple et déterministe, sans protection supplémentaire adaptée, ces numéros peuvent donc être relativement faciles à retrouver.
Une donnée hachée n’est pas automatiquement une donnée anonyme. La sécurité dépend de la méthode utilisée, de la prévisibilité des informations d’origine et des protections supplémentaires. Dans le cas d’eSignFlow, il faudrait connaître précisément le procédé employé avant de déterminer si les numéros exposés étaient réellement protégés.
Même sans accéder au contenu complet des documents, un pirate disposant de noms, d’adresses électroniques, de dates de naissance et d’informations sur des démarches administratives peut disposer de suffisamment d’éléments pour préparer des tentatives de phishing ciblées.
Imaginez recevoir un message semblant provenir de votre commune, mentionnant une attestation récente ou une procédure administrative réelle, puis vous demandant de confirmer votre identité ou de régler des frais.
C’est nettement plus crédible qu’un courriel annonçant que vous avez hérité de plusieurs millions d’euros d’un prince dont personne n’a jamais entendu parler.
L’organisme public IGEAN, concerné par l’utilisation d’un prestataire de signature électronique dans le cadre de certaines amendes administratives, appelle à la vigilance face aux communications suspectes.
La commune de Tielt-Winge recommande également de vérifier directement auprès de l’administration toute demande inhabituelle liée à une signature, une attestation ou une amende.
En pratique, mieux vaut éviter les liens contenus dans un message inattendu et passer directement par le site officiel de sa commune. Et évidemment, ne jamais transmettre ses codes itsme, son code PIN ou ses mots de passe.
Une métadonnée est une information qui décrit une autre information. Dans le cas d’un document électronique, elle permet notamment de savoir qui l’a créé, quand il a été envoyé, à qui il est destiné ou comment il a été traité, sans nécessairement révéler le contenu du document lui-même.
| Type de document | Attestation de domicile |
| Destinataire | Marie Dupont (nom fictif) |
| Adresse e-mail | marie@example.com |
| Date d’envoi | 22 octobre 2026 |
| Service concerné | Population |
Même sans lire le document, une personne malveillante pourrait savoir qu’un citoyen a effectué une démarche auprès de sa commune, connaître son adresse électronique et identifier le service administratif concerné.
Ces renseignements peuvent être exploités pour fabriquer un message frauduleux très crédible. Un escroc pourrait, par exemple, envoyer un faux courriel communal demandant de confirmer une attestation ou de se connecter à un portail imitant celui de l’administration.
Les métadonnées ne sont pas de simples détails techniques sans importance. Elles peuvent contenir des données personnelles, révéler des démarches administratives et faciliter des tentatives d’escroquerie. Dans l’affaire eSignFlow, la distinction entre le contenu des documents et les informations qui les accompagnent est donc essentielle, mais elle ne rend pas automatiquement la fuite anodine.
À ce stade, il serait prématuré d’affirmer que tous les documents administratifs des communes utilisatrices ont été dérobés. Les informations officielles disponibles ne permettent pas non plus d’établir un bilan national définitif.
Mais elles montrent déjà que les données exposées peuvent être plus sensibles que ne le suggère l’expression « simples métadonnées ».
L’affaire soulève également une question plus large : lorsqu’une administration confie des informations personnelles à un prestataire informatique, quelles garanties possède réellement le citoyen sur leur sécurité ? La numérisation des services publics reste une excellente chose. Encore faut-il que les protections suivent.
Au départ, ce n’était qu’une alerte aperçue sur X. Quelques recherches dans les communiqués officiels des communes ont suffi à montrer que le sujet méritait bien davantage qu’un simple démenti rassurant.
Et la prochaine fois qu’on vous expliquera que seules des métadonnées ont été compromises, posez une question toute simple : lesquelles, exactement ?
Informations arrêtées au 28 octobre 2026, 12h. L’enquête est toujours en cours et le bilan de l’incident peut évoluer.
Cette enquête repose principalement sur les communications officielles de l’éditeur Vanden Broele et des administrations belges concernées par la cyberattaque des 22 et 23 octobre 2026. Les documents permettent de distinguer les faits confirmés des éléments encore en cours d’investigation.
Communication officielle sur la cyberattaque d’eSignFlow
L’éditeur confirme l’intrusion, détaille les mesures de sécurité prises, la remise en service de la plateforme et les notifications adressées aux autorités et aux clients.
Fuite de données chez l’un de nos fournisseurs
La commune détaille les requêtes portant sur 158 documents et 181 utilisateurs. Elle énumère les catégories de métadonnées concernées, notamment les titres, destinataires, notes et codes d’accès.
Piratage de l’application de signature numérique de Pelt
Bilan communal : 324 documents concernés par des requêtes, 186 habitants et 95 adresses électroniques d’agents. La commune précise qu’aucun document n’a été ouvert ni téléchargé.
Incident de sécurité chez un fournisseur externe : appel à la vigilance
La commune confirme l’incident chez Vanden Broele, explique l’utilisation de la plateforme pour les documents administratifs et recommande la prudence face aux messages frauduleux.
Cyberattaque contre le fournisseur de signatures numériques
Mol confirme son recours à eSignFlow et avertit ses habitants du risque de courriels, SMS, appels et demandes de paiement suspects. L’impact précis sur la commune reste à établir.
Incident de sécurité chez un fournisseur : vigilance face aux tentatives de fraude
L’organisme intercommunal explique les risques associés aux documents utilisés pour les amendes administratives et rappelle les précautions contre le phishing et les demandes de paiement frauduleuses.
Sources consultées le 28 octobre 2026. Les investigations étant toujours en cours, les chiffres et conclusions peuvent évoluer. Les communications officielles citées ne permettent pas encore de confirmer précisément l’ampleur d’une éventuelle exposition de numéros de registre national hachés ou de signatures manuscrites.
Pendant des décennies, le message adressé aux jeunes Américains était relativement simple : faites de…
Vous possédez déjà un pont Philips Hue et vous aimeriez que quatre lampes s'allument automatiquement…
Apple poursuit sa semaine d'annonces avec un nouveau MacBook Pro 14 pouces équipé de la…
Les feuilles tombent, les températures baissent et votre pelouse commence doucement son hibernation. Autant dire…
Vous pensiez confier quelques tâches ennuyeuses à une intelligence artificielle ? Voilà qu'elle peut consulter…
Installer une application Android sans passer par le Play Store a longtemps été l'un des…