Sammanfattning
Ett dataintrång i eSignFlow, den belgiska leverantören Vanden Broeles plattform för digitala underskrifter, gav en extern angripare tillgång till uppgifter om en stor del kunderna. Bland dem finns belgiska kommuner. Angreppet pågick från klockan 03.48 den 22 oktober 2026 till 11.17 dagen efter. Vanden Broele stängde ned eSignFlow den 23 oktober och öppnade tjänsten på nytt med nya nycklar på kvällen den 24 oktober. Enligt bolagets incidentsida, senast uppdaterad den 27 oktober, ska kunderna utgå från att angriparen känner till de belgiska identitetsnummer som tillhörde dem som undertecknat dokument. Ett tidigare brev uppgav att numren var hashade. Incidenten är anmäld till Centre for Cybersecurity Belgium (CCB), dataskyddsmyndigheten GBA och polisen. Angriparen har inte krävt någon lösensumma.
Dataintrånget i eSignFlow röjde mer än metadata
Den 26 oktober beskrev vd Bram Van Impe i en intervju läckan som främst en exponering av metadata, till exempel namn på undertecknare och dokumenttitlar. En del kunder hade dagen innan fått ett brev där identitetsnumren (rijksregisternummer) beskrevs som hashade. Enligt bolagets incidentsida går det dock att återskapa numret relativt enkelt.
Bolaget delar in de berörda i grupper. För undertecknare, interna som externa, omfattar de exponerade uppgifterna namn, land och identitetsnummer samt, i ett begränsat antal fall en bild av den handskrivna namnteckningen. För personer som nämns i dokumentuppgifterna rör det sig om namn, e-postadress, dokumenttitel och åtkomstkod. Det innebar att även själva dokumenten kunde nås. Hos ett litet antal organisationer laddade angriparen ned hela dokument. Kundernas användare fick namn och e-postadress röjda men inga lösenord. Bland de berörda finns anställda, förtroendevalda och leverantörer och inte bara invånare.
Enligt bolaget har ingen undertecknat dokumentet i någon annans namn.
Vägen in gick via en administrationsmiljö som var öppen mot internet
Angriparen tog sig in via en administrationsmiljö som gick att nå från internet, uppger Vanden Broele på sin incidentsida. Med stulna nycklar kunde angriparen utge sig för att vara användare i eSignFlows API och hämta uppgifter från tjänsten.
Personalen upptäckte aktiviteten klockan 09.30 den 23 oktober. Plattformen stängdes ned vid lunch. Angreppet höll på till 11.17.
Underliggande servrar och eGovFlow, en annan av bolagets tjänster, prövades också. Där tog sig angriparen inte in, enligt bolaget. Personliga itsme-konton och belgiska eID-kort berördes inte och externa Active Directory-miljöer påverkades inte heller.
Kunderna avgör vem som ska informeras
För de uppgifter Vanden Broele själv ansvarar för anmäldes incidenten till CCB den 23 oktober och till GBA den 25 oktober. I eSignFlow är bolaget personuppgiftsbiträde. Varje kund bedömer därför själv om de berörda ska informeras och om anmälan ska göras till GBA, den flamländska tillsynskommissionen eller CCB för den som omfattas av NIS2.
Kommunen Mol varnade invånarna den 27 oktober för misstänkta mejl, sms, samtal och betalningsuppmaningar och skrev att följderna för kommunen ännu inte var bekräftade. Dessel gick ut med en liknande varning och listade de enda kontonummer som står på kommunens administrativa böter.
I Vanden Broeles allmänna villkor, som gäller från 1 januari 2024, undantas ansvar för skador av bedrägliga handlingar från tredje part som hacking. Undantaget gäller inte om skadan direkt följer av att bolaget brutit mot lag eller avtal. Ansvaret per händelse begränsas till vad kunden betalat de tre hela månaderna före den månad då händelsen inträffar.
Antalet drabbade är fortfarande okänt
Hur många organisationer och personer som berörs av dataintrånget i eSignFlow har Vanden Broele inte uppgett. Bolaget har inte förklarat varför administrationsmiljön var nåbar utifrån och har inte pekat ut någon angripare. En rotorsaksanalys per angreppsväg väntas veckan som börjar den 9 november.
IMY:s Miljödata-beslut pekade på saknad intrångsövervakning
I Sverige har frågan prövats. Integritetsskyddsmyndigheten (IMY) beslutade den 22 september 2026 att Miljödata ska betala 1,8 miljoner kronor för brott mot artikel 32.1 i GDPR efter intrånget i augusti 2025. Där röjdes bland annat uppgifter om sjukfrånvaro och elevhändelser i skolor. IMY lyfte att bolaget saknade automatisk realtidsövervakning för att upptäcka intrång. I eSignFlow var angriparen inne i 29 timmar och 42 minuter innan personalen märkte något. Angreppet fortsatte sedan i 1 timme och 47 minuter.
Referenser
- Veelgestelde vragen incident oktober 2026
- Algemene voorwaarden vanaf 01/01/2024
- Cyberaanval bij leverancier digitale handtekeningen: wees alert voor verdachte berichten
- Beveiligingsincident bij eSignFlow: wees alert voor phishing
- Sanktionsavgift mot Miljödata för bristande säkerhet
- Publicerad rapport, 26 oktober 2026
This post is also available in:
English
