Le 5 novembre 2025, plusieurs sites internet d'opérateurs de télécommunication actifs en Belgique, notamment ceux de Proximus et Scarlet, ont été la cible d'une attaque de type Distributed Denial of Service (DDoS), revendiquée par le groupe de hackers pro-russe NoName057 via le canal de messagerie Telegram. Le site d'un fabricant d'imprimantes industrielles basé à Wavre, ainsi que celui de la commune de Comines-Warneton, ont également été visés. Ce type d'attaque consiste à saturer les serveurs ciblés en les submergeant de requêtes artificielles, les rendant inaccessibles aux utilisateurs légitimes. Bien que, par nature, les attaques DDoS ne permettent pas directement l'exfiltration de données, leur caractère répétitif et la sophistication croissante de certaines campagnes peuvent parfois s'accompagner d'intrusions ou de vulnérabilités secondaires exploitables. Dans un contexte de tensions géopolitiques croissantes et de multiplication des actes hostiles à l'encontre des infrastructures numériques occidentales, ces événements soulèvent des inquiétudes légitimes quant à la résilience des opérateurs de télécommunication et à la protection des données personnelles des usagers. 1. Les autorités fédérales ont-elles été informées officiellement par les opérateurs concernés ou par le Centre pour la Cybersécurité Belgique de l'ampleur exacte de ces attaques? 2. Peut-on affirmer avec certitude qu'aucune donnée à caractère personnel n'a été compromise, exfiltrée ou exposée durant ces incidents? 3. Des audits techniques indépendants ont-ils été exigés ou réalisés pour s'assurer de l'intégrité des systèmes informatiques des entités attaquées? 4. Une notification officielle a-t-elle été transmise à l'Autorité de protection des données par les opérateurs concernés, conformément aux exigences du règlement général sur la protection des données en cas de suspicion de violation de données? 5. Le gouvernement envisage-t-il de renforcer les obligations de cybersécurité préventive imposées aux fournisseurs d'infrastructures critiques, telles que les entreprises de télécommunications, notamment en matière de gestion des attaques DDoS et de reporting en cas d'incident? 6. Des campagnes d'information ou de sensibilisation à la protection des données et à la cybersécurité sont-elles prévues à l'attention des collectivités locales, également visées dans cet incident, afin de renforcer leur résilience?
B041
De manière liminaire, je souhaite indiquer que la compétence en matière de cybersécurité relève du premier ministre qui dispose également de la tutelle sur le Centre pour la Cybersécurité Belgique (CCB). Cependant compte tenu des cibles visées dans la cyberattaque que vous mentionnez, je souhaite vous faire part des informations dont je dispose. 1. En tant qu'autorité nationale compétente en matière de cybersécurité, le CCB a assuré la coordination globale de la situation. Grâce à cette approche l'impact opérationnel des récentes campagnes DDoS est resté limité. Cette coordination s'est traduite par une information régulière des autorités gouvernementales, des services de renseignement et des services de sécurité sur l'évolution de la situation, ainsi que par une surveillance en temps réel et un échange continu d'informations avec les partenaires, les organisations concernées, les fournisseurs d'accès à Internet et les hébergeurs. La procédure dite du red button du CCB a également été activée et a permis une escalade rapide et une coordination efficace avec les parties prenantes concernées en cas d'incident cyber majeur. Des actions de protection cyber active ont été menées, notamment par l'envoi d'alertes et de recommandations ciblées aux victimes ainsi qu'aux parties prenantes concernées, en particulier les fournisseurs d'accès à Internet et les hébergeurs. 2. Aucune indication de fuite de données n'a été constatée au sein des organisations ciblées par les récentes cyberattaques. Les attaques menées étaient des attaques DDoS. Ce type d'attaque vise spécifiquement à surcharger des sites web ou des services en ligne, les rendant temporairement indisponibles. Il est important de souligner qu'une attaque DDoS n'a pas pour objectif de pénétrer dans les systèmes ni de voler des données. Pour les organisations concernées, cela a pu entraîner des difficultés temporaires d'accès à leurs sites web. 3. Lorsque les entités attaquées sont soumises au champ d'application de NIS2 (loi du 26 avril 2024), des audits techniques indépendants peuvent être exigés ou réalisés si les informations disponibles s'avèrent insuffisantes. En ce qui concerne les dossiers mentionnés, et compte tenu du principe de proportionnalité ainsi que du niveau de collaboration démontré par les entités victimes de ces attaques, le CCB n'a, à ce stade, pas jugé nécessaire d'imposer des audits techniques indépendants. Aussi l'Institut belge des services postaux et des télécommunications (IBPT) n'a pas demandé ni réalisé d'audits techniques liés à cette attaque car elle ne visait que certains sites web et elle n'a donc pas touché leur infrastructure critique. Cependant l'IBPT effectue chaque année des inspections dans les infrastructures critiques du secteur des télécommunications. 4. Je peux indiquer que, jusqu'à présent, l'Autorité de protection des données (APD) n'a reçu aucune notification de violation de données de la part de Proximus ou de Scarlet concernant cette attaque DDoS. Je rappelle toutefois qu'il n'est pas établi avec certitude qu'une violation de données à caractère personnel ait eu lieu imposant une notification à l'APD. En outre, des fuites de données qui n'auraient pas été notifiées peuvent également faire l'objet d'un examen par l'APD lorsque celle-ci en prend connaissance par d'autres voies, comme à la suite d'une plainte ou dans le cadre d'une enquête menée de sa propre initiative par son service d'inspection. En raison du secret qui entoure les enquêtes en cours, je ne peux vous communiquer des informations sur d'éventuels dossiers d'inspection. 5. L'IBPT prépare actuellement une proposition de renforcement des obligations de cybersécurité imposées aux opérateurs de télécommunications dans le cadre de la législation NIS2 et CER. Concernant vos questions relatives plus largement aux procédures mises en oeuvre en matière de cybersécurité, notamment concernant la prévention, je vous invite à vous adresser au premier ministre.