Mercredi 28 octobre, le Service public fédéral (SPF) Finances, l’administration fiscale belge, a reconnu être la cible d’une cyberattaque. Par précaution, MyMinfin, l’équivalent belge de l’espace particulier d’impots.gouv.fr, et plusieurs autres services ont été mis hors ligne, à trois jours d’une date butoir fiscale. Pas de fuite de données établie à ce stade, pas de revendication non plus. Mais l’épisode belge vient s’ajouter à une liste européenne qui ne cesse de s’allonger.
Couper d’abord, comprendre ensuite
Le message est tombé mercredi en début d’après-midi, dans un communiqué publié à 14h04 : les services numériques du SPF Finances “font actuellement l’objet d’une cyberattaque”. Sur le site de l’administration, un bandeau d’alerte renvoie depuis vers les dernières informations. Pour le reste, les détails se font rares. Les équipes examinent encore l’impact concret de l’attaque et ont choisi de rendre inaccessible MyMinfin. Ce portail personnel est la porte d’entrée numérique des contribuables belges vers le fisc : on y consulte son dossier fiscal, ses avertissements-extraits de rôle (l’équivalent de l’avis d’imposition) et on y accède à Tax-on-web, l’outil de déclaration en ligne. Plusieurs autres services, dont la liste n’a pas été rendue publique, ont suivi le même chemin. Le SPF présente ce débranchement comme un moyen de limiter les risques et de mener les interventions techniques nécessaires. Une grande partie des applications reste disponible, certaines en fonctionnement complet, d’autres en mode dégradé.
Couper avant de compter : le réflexe est classique, et plutôt sain. Mieux vaut un portail fermé qu’un attaquant qui se promène pendant qu’on cherche par où il est entré. Reste que l’administration ne dit rien de la nature de l’incident. Rançongiciel, intrusion, saturation par déni de service ? Aucun groupe n’a revendiqué l’opération et aucun calendrier de rétablissement n’a été avancé.
Le timing, lui, ne pouvait guère être plus mal choisi. La date limite de rentrée des déclarations comportant des revenus spécifiques, celles des indépendants ou des contribuables percevant des revenus étrangers notamment, était fixée au 31 octobre. Le SPF Finances promet un délai suffisant, dont la nouvelle date sera communiquée dès que possible. Sur le front des données, l’administration se veut rassurante : rien n’indique à ce stade une fuite ou un vol, un point qui fait l’objet d’une analyse et d’un suivi attentifs, a-t-elle précisé dans des propos relayés par Belga et repris par Le Soir. Une absence d’indice qui ne vaut pas encore certificat, les investigations ne faisant que commencer.
Le fisc belge sortait pourtant déjà d’une semaine agitée. Le 21 octobre, plusieurs de ses sites, dont finances.belgium.be, finimmoweb.be et ruling.be, avaient été mis hors ligne à titre préventif après la divulgation de vulnérabilités critiques dans PHP, avant d’être rétablis le 23 octobre, rapporte cyberattaque.org. Rien ne permet aujourd’hui de relier les deux épisodes. Fin septembre, l’administration mettait aussi en garde contre des campagnes d’hameçonnage usurpant son identité, un filon que la médiatisation de l’attaque pourrait bien raviver.
Le guichet public, cible de choix sur tout le continent
Pour la Belgique, octobre a des airs de mauvais feuilleton. Deux semaines plus tôt, Ahold Delhaize mettait une partie de ses systèmes hors ligne après un incident survenu le 11 octobre, et Delhaize devait réapprovisionner ses magasins via un dispositif de secours, comme le racontait Le Soir.
L’affaire du SPF touche pourtant à autre chose : le guichet de l’État, celui que le citoyen ne peut ni contourner ni remplacer par un concurrent. Et sur ce terrain, la Belgique est loin d’être un cas isolé. En France, la DGFiP révélait le 18 février qu’un acteur malveillant, muni des identifiants usurpés d’un fonctionnaire, avait consulté entre fin janvier et le 13 février une partie du fichier FICOBA, exposant les données d’environ 1,2 million de comptes bancaires. Quelques semaines plus tôt, entre décembre 2025 et janvier 2026, La Poste encaissait des vagues de déni de service attribuées au collectif prorusse NoName057, habitué des sites gouvernementaux européens, belges compris.
Exfiltration silencieuse d’un côté, paralysie bruyante de l’autre : deux visages d’une même pression. Les administrations concentrent des données sensibles, des services dont personne ne peut se passer et des échéances qu’on ne déplace pas sans fracas. Autant de leviers pour un attaquant, qu’il vise l’argent, la donnée ou simplement la visibilité.
