In een aantal Belgische gemeenten krijgen inwoners deze week een waarschuwing van hun eigen stadhuis. Let op met berichten over boetes en attesten, want die kunnen nep zijn. De aanleiding is een hack bij Vanden Broele, een softwareleverancier van lokale besturen in België. Volgens ITdaily hebben onder meer Genk, Peer, Steenokkerzeel, Leopoldsburg, Sint-Truiden en Beringen hun inwoners ingelicht, en kan dat aantal nog oplopen.
Het gaat dus om België. Nederlandse gemeenten worden in de berichtgeving niet genoemd. Toch is het verhaal ook voor Nederlanders leerzaam, want het laat precies zien hoe een lek bij een leverancier uitmondt in phishing die er heel echt uitziet.
Wat er gebeurde bij Vanden Broele
De getroffen software is eSignFlow, een module waarmee inwoners en gemeenten documenten digitaal ondertekenen. Meer dan honderd lokale besturen gebruiken software van Vanden Broele. Volgens een bericht van VRT NWS had een hacker op 22 en 23 oktober 2026 toegang. In Steenokkerzeel konden inwoners sinds het weekend geen documenten meer digitaal ondertekenen.
Hoeveel er is buitgemaakt, verschilt per gemeente. Topman Bram Van Impe zegt dat er bij de grote meerderheid weinig tot niets is gelekt en bij sommige gemeenten meer. In Peer is volgens burgemeester Steven Matheï “vermoedelijk” data gestolen, al zijn er voorlopig geen aanwijzingen dat het om gegevens van inwoners gaat. Wat wel naar buiten kwam, is volgens het bedrijf vooral metadata. Denk aan de namen van mensen die iets ondertekenden en de titels van documenten. Er zijn volgens Vanden Broele geen handtekeningen namens iemand anders gezet.
Waarom juist metadata gevaarlijk is
Metadata klinkt onschuldig. Geen rekeningnummers, geen wachtwoorden, geen kopie van je identiteitskaart. Maar voor een oplichter is een naam met een documenttitel erbij veel waard. Hij weet dan dat jij bij die gemeente een vergunning, een attest of een boete hebt lopen. Een nepbericht dat precies daarover gaat, met jouw naam erin en de juiste gemeente als afzender, is veel overtuigender dan de gewone pakketjes-sms.
Dat is ook waarom Peer specifiek waarschuwt voor berichten over GAS 5-boetes (Belgische gemeentelijke boetes voor parkeer- en stilstaanovertredingen) en attesten. Juist die onderwerpen passen bij documenten die via zo’n systeem lopen. De stad geeft er een harde controle bij. Er is maar één juist rekeningnummer voor zo’n boete, en dat staat op de site van de stad. Een betaalverzoek met een ander nummer is dus nep, hoe echt de rest van het bericht ook oogt.
Ik vind dat een van de nuttigste dingen die een gemeente na een lek kan doen. Niet alleen “let op”, maar één concreet gegeven waarmee iedereen een bericht zelf kan toetsen.
Zo herken je de phishing die volgt
De berichten die na zo’n lek rondgaan, lijken op gewone post van de gemeente. Een paar dingen verraden ze toch.
- Er staat een betaalverzoek in dat je niet verwacht, met haast erbij. Dreigen met een extra boete als je niet vandaag betaalt, is een klassiek signaal.
- Je moet via een link inloggen of betalen. Officiële berichten lees je in de omgeving van de overheid zelf. In België is dat My eBox, in Nederland de Berichtenbox van MijnOverheid. Daar ga je zelf naartoe, niet via een link.
- Het rekeningnummer wijkt af van wat de gemeente op haar eigen website noemt.
- De beller of afzender weet opvallend veel, je naam en het onderwerp van een document. Dat bewijst niets meer, juist na een lek als dit.
Die laatste is de lastigste. We zijn gewend om te denken dat iemand die details kent, wel echt zal zijn. Na een hack is het omgekeerd. Kennis van jouw dossier is precies wat er is buitgemaakt.
Al geklikt of betaald?
Heb je op een link geklikt en daar gegevens ingevuld, verander dan meteen het wachtwoord van het account dat je invulde en zet waar het kan tweestapsverificatie aan. Heb je betaald, bel dan direct je bank via het nummer op je pas of in de app en vraag of de betaling nog kan worden tegengehouden. Doe daarna aangifte en meld het bericht. In België kan dat bij Safeonweb door een verdacht bericht door te sturen naar ve******@*******eb.be. In Nederland kun je terecht bij de Fraudehelpdesk. Wat daar met je melding gebeurt, lees je in ons stuk over de Fraudehelpdesk.
Ook in Nederland ging het dit najaar al eens mis met overheidsdiensten, toen MijnOverheid en DigiD offline gingen door een lek. De les van Vanden Broele is breder dan België. Een gemeente bouwt haar digitale loket zelden zelf, en een lek bij de leverancier raakt dan iedereen die er iets mee deed. Wie weet dat zijn naam en een documenttitel op straat kunnen liggen, kijkt met andere ogen naar het volgende bericht van het stadhuis.
