Le Service public fédéral (SPF) Finances belge confirme être victime d’une cyberattaque ce mercredi 28 octobre 2026. L’administration fiscale a décidé de rendre temporairement inaccessible MyMinfin, le principal portail numérique des contribuables belges, ainsi que plusieurs autres services. Cette attaque survient à seulement trois jours d’une échéance importante pour certaines déclarations fiscales.
Dans un communiqué officiel publié le 28 octobre à 14 h 04, le SPF Finances reconnaît être confronté à une attaque informatique dont l’ampleur exacte reste à déterminer. À ce stade, l’administration n’a identifié aucun indice de vol ou de fuite de données.
Le SPF Finances constitue l’administration fédérale chargée notamment de la fiscalité, de la perception des impôts, de la TVA, des douanes et de la gestion de nombreuses informations financières des particuliers et des entreprises en Belgique.
MyMinfin et plusieurs services fiscaux mis hors ligne
La cyberattaque a conduit le SPF Finances à suspendre temporairement l’accès à MyMinfin, la plateforme permettant aux contribuables d’effectuer leurs démarches fiscales en ligne.
Cette interface donne notamment accès aux déclarations d’impôts via Tax-on-web, aux documents fiscaux et à différents services administratifs.
L’administration indique avoir également interrompu plusieurs autres services numériques, sans en publier la liste exhaustive.
Ces interruptions sont présentées comme des mesures de précaution destinées à limiter les risques et à permettre les interventions techniques nécessaires. Elles ne signifient donc pas nécessairement que tous les services indisponibles ont été directement compromis.
Le SPF Finances précise qu’une grande partie de ses applications reste accessible, avec des fonctionnalités complètes ou partiellement dégradées.
Une cyberattaque à trois jours de la date limite des impôts
Le calendrier rend cette attaque particulièrement problématique. La date limite de dépôt de certaines déclarations fiscales belges était fixée au 31 octobre 2026.
Cette échéance concerne notamment les contribuables déclarant des revenus spécifiques, comme les revenus d’indépendants ou certains revenus professionnels étrangers.
En raison de l’indisponibilité de MyMinfin, l’administration a annoncé qu’un délai supplémentaire serait accordé aux contribuables concernés.
La nouvelle échéance n’a pas encore été fixée. Le SPF Finances indique qu’elle sera communiquée dès que possible.
Les comptables, experts-comptables et contribuables professionnels figurent donc parmi les utilisateurs susceptibles d’être directement pénalisés par ces interruptions.
Aucune fuite de données confirmée malgré l’attaque
La nature exacte de la cyberattaque n’a pas été rendue publique. Le SPF Finances ne précise pas si l’incident résulte d’une exploitation de vulnérabilité, d’un accès frauduleux à ses systèmes ou d’une attaque visant leur disponibilité.
Aucun groupe de hackers n’a été officiellement désigné comme responsable. L’administration ne fait pas non plus état d’un rançongiciel, de fichiers chiffrés ou d’une demande de rançon.
Le point le plus rassurant concerne les informations personnelles. Dans sa communication, le SPF Finances indique qu’aucun élément ne permet actuellement de conclure à une extraction de données.
Cette précision est importante compte tenu de la sensibilité des informations traitées par le fisc belge : déclarations de revenus, données patrimoniales, informations professionnelles et documents fiscaux.
L’absence d’indice de vol ne constitue toutefois pas une preuve définitive qu’aucune information n’a été récupérée. Les investigations techniques doivent encore déterminer l’étendue réelle de l’incident.
Le SPF Finances avait déjà suspendu plusieurs sites le 21 octobre
Cette cyberattaque intervient dans un contexte de sécurité informatique déjà tendu pour l’administration belge.
Le 21 octobre 2026, soit une semaine auparavant, plusieurs sites Internet du SPF Finances avaient été temporairement mis hors ligne à la suite de la divulgation de vulnérabilités critiques dans le langage PHP.
Les sites institutionnels concernés comprenaient notamment finances.belgium.be, finimmoweb.be et ruling.be. Cette première interruption était une mesure préventive et non la confirmation d’une intrusion.
À cette date, l’administration indiquait que MyMinfin restait accessible. La plupart des sites avaient ensuite été remis en ligne le 23 octobre.
La situation est différente ce 28 octobre : le SPF Finances reconnaît cette fois explicitement être la cible d’une cyberattaque, et MyMinfin figure parmi les services suspendus.
Il est cependant impossible d’établir un lien entre les vulnérabilités PHP de la semaine précédente et cette nouvelle attaque. Aucune information technique officielle ne permet actuellement de confirmer une origine commune.
Quels risques pour les contribuables belges ?
La conséquence immédiatement confirmée reste l’indisponibilité de certains services fiscaux, qui empêche les contribuables d’effectuer normalement leurs démarches numériques.
Une autre menace pourrait apparaître sous la forme de tentatives d’hameçonnage opportunistes. Des escrocs pourraient exploiter la médiatisation de la cyberattaque pour envoyer de faux messages annonçant un rétablissement de compte, une régularisation fiscale ou une nouvelle procédure de déclaration.
Ces risques ne signifient pas que des données ont effectivement été dérobées. Ils découlent de la possibilité pour des fraudeurs d’utiliser l’incident comme prétexte afin de réclamer des identifiants, des documents ou des coordonnées bancaires.
Le SPF Finances avait d’ailleurs déjà alerté le 30 septembre 2026 sur des campagnes d’hameçonnage usurpant l’identité de ses services. L’administration rappelle notamment que les communications sensibles doivent être vérifiées par les canaux officiels.
L’administration fiscale belge tente de rétablir ses services
Les équipes informatiques du SPF Finances poursuivent leurs investigations pour identifier la nature de l’attaque, mesurer ses conséquences et sécuriser les systèmes concernés.
La cyberattaque a été confirmée publiquement le 28 octobre 2026, mais la date du premier accès malveillant, les systèmes initialement visés et l’identité des responsables restent inconnus.
Aucun calendrier de rétablissement complet n’a été communiqué. Les autorités ont en revanche confirmé que les contribuables concernés par l’échéance du 31 octobre bénéficieront d’un report.
Cette attaque frappe une infrastructure numérique essentielle de l’État belge à un moment particulièrement sensible du calendrier fiscal. Si aucune fuite de données n’est actuellement établie, la paralysie temporaire de MyMinfin démontre déjà les conséquences concrètes d’une cyberattaque contre une administration publique majeure.