Fuite de données Limburg.net : près de 293 000 Limbourgeois touchés

La fuite de données de Limburg.net est l'une des plus importantes subies par un organisme public flamand. Limburg.net est l'intercommunale chargée de la collecte des déchets dans la province de Limbourg. En décembre 2023, des pirates ont volé des fichiers sur ses serveurs. En janvier 2024, ils ont publié les données de centaines de milliers d'habitants.

Ce dossier fait le point sur ce que l'on sait. Pour les notions de base, lisez notre guide sur la fuite de données. Les incidents touchant les villes, communes et intercommunales sont réunis dans la rubrique collectivités.

Que s'est-il passé chez Limburg.net ?

Une intercommunale est un organisme public créé par plusieurs communes pour partager un service. Limburg.net gère la collecte des déchets et les parcs à conteneurs de nombreuses communes limbourgeoises.

Selon le communiqué de Limburg.net du 30 janvier 2024, les pirates sont entrés dans ses systèmes le 17 novembre 2023. L'attaque a été détectée le 13 décembre 2023. L'intercommunale a alors coupé ses systèmes.

Grâce à ses sauvegardes, les services ont vite redémarré. La collecte des déchets et les parcs à conteneurs ont continué à fonctionner. Mais les pirates avaient effacé leurs traces et chiffré des fichiers. Le 19 décembre, les premiers signes d'un téléchargement de données sont apparus.

En janvier 2024, le groupe criminel Medusa a affiché Limburg.net sur son site du dark web (la partie cachée d'Internet). Il a lancé un compte à rebours et publié des extraits. Selon la VRT, les pirates réclamaient 100 000 euros. Limburg.net a refusé de payer. Les données ont été publiées le 20 janvier 2024.

Chronologie

Date	Événement
17 novembre 2023	Les pirates pénètrent dans les systèmes de Limburg.net.
13 décembre 2023	L'attaque est détectée ; les systèmes sont coupés.
19 décembre 2023	Premiers signes que des fichiers ont été téléchargés.
11 janvier 2024	Le groupe Medusa publie un compte à rebours et des extraits sur le dark web.
17 janvier 2024	Le conseil d'administration décide de ne pas payer.
19 janvier 2024	Limburg.net informe le public de la fuite.
20 janvier 2024	Le délai expire ; les pirates publient les données.
23 janvier 2024	Le parquet du Limbourg ouvre une enquête.
26 juin 2024	L'analyse finale fixe le total à 292 734 personnes touchées.

Quelles données ont fuité ?

Les fichiers volés venaient surtout d'anciens serveurs. Selon la VRT, il s'agissait notamment de deux vieilles listes de domiciliation de 2014 et 2015.

Ces listes contenaient, pour chaque chef de ménage :

• le nom ;
• l'ancienne adresse ;
• le numéro de registre national (le numéro d'identification unique de chaque résident belge).

D'autres fichiers ont été touchés. Une liste de personnes en médiation de dettes a été volée. Selon Limburg.net, 61 personnes concernées ont été contactées directement.

L'analyse finale a révélé d'autres éléments. Selon le communiqué du 26 juin 2024, 555 numéros de compte bancaire figuraient aussi dans les fichiers. On y trouvait encore 13 118 numéros de registre national d'autres années. Parmi eux, 11 332 concernaient la commune de Bilzen en 2016.

Selon la VRT, les numéros de téléphone, les mots de passe et les adresses e-mail n'étaient pas concernés.

Le numéro de registre national est une donnée sensible. Associé à un nom et une adresse, il peut aider un escroc à se faire passer pour vous.

Combien de personnes sont concernées ?

Au total, 292 734 personnes sont concernées, selon l'analyse finale publiée en juin 2024.

Les premiers chiffres étaient différents. En janvier 2024, la VRT évoquait 311 000 chefs de ménage. Le parquet parlait d'environ 383 000 fichiers volés. Ces chiffres mesuraient des choses différentes : des lignes, des fichiers ou des personnes.

Pour trancher, Limburg.net a fait analyser les quelque 380 000 documents publiés. L'analyse a été menée avec le cabinet Ernst & Young et des sociétés spécialisées.

Qui est derrière l'attaque ?

Le groupe Medusa a revendiqué le vol. C'est un groupe de rançongiciel, un logiciel qui bloque les fichiers pour exiger une rançon. Pour comprendre ce mode d'action, lisez notre guide sur le rançongiciel.

Medusa pratique la « double extorsion ». Il chiffre les fichiers, puis menace de publier les données volées. Limburg.net ayant refusé de payer, la menace a été mise à exécution.

L'identité des personnes derrière Medusa n'est pas connue publiquement. L'enquête judiciaire est toujours en cours.

Qu'ont fait Limburg.net et les autorités ?

Limburg.net a renforcé sa sécurité dès la détection. L'intercommunale dit préparer les règles plus strictes de la directive européenne NIS2, qui impose des mesures de cybersécurité.

Elle a informé plusieurs autorités :

• le CERT du Centre pour la cybersécurité Belgique (CCB) ;
• l'Autorité de protection des données (APD) ;
• la Commission de contrôle flamande, chargée de la protection des données des organismes flamands ;
• la police.

Le parquet du Limbourg a ouvert une enquête, selon la VRT. La Computer Crime Unit de la police judiciaire fédérale cherche les auteurs. Le parquet a rappelé qu'acheter, télécharger, diffuser ou utiliser ces données est aussi punissable.

Une seconde enquête porte sur Limburg.net elle-même. Des citoyens ont porté plainte pour une gestion négligente de leurs données. Un expert a estimé que le serveur visé était ancien et mal protégé. Limburg.net conteste et affirme avoir tout fait pour éviter le vol. L'APD pouvait aussi ouvrir une enquête si des manquements étaient constatés.

Limburg.net a écrit aux personnes touchées en janvier 2024, puis en juin 2024 pour les nouveaux cas. Elle s'est constituée partie civile dans le dossier pénal. Une cellule de partage d'expérience a aussi été créée pour les autres intercommunales de déchets.

Comment savoir si je suis concerné ?

Limburg.net a envoyé une lettre à chaque personne touchée. Selon l'intercommunale, si vous n'avez pas reçu de courrier, soit vous aviez déjà été informé, soit vous n'êtes pas concerné.

Vous êtes surtout concerné si vous étiez chef de ménage client de Limburg.net en 2014 ou 2015. Les habitants de Bilzen inscrits en 2016 sont aussi visés.

Les questions peuvent être posées via l'espace client mijn.limburg.net. Ne cherchez pas vous-même les fichiers sur le dark web : c'est risqué et cela peut être illégal.

Pour vérifier vos autres comptes, suivez notre méthode pour vérifier si mes données ont fuité.

Que faire si mes données ont fuité ?

Un numéro de registre national ne se change pas. La vigilance est donc la meilleure protection.

1. Méfiez-vous des contacts inattendus. Un escroc peut citer votre adresse ou votre numéro pour gagner votre confiance. En cas de doute, appelez vous-même l'organisme concerné.
2. Ne donnez jamais vos codes. Aucune administration ne demande un code PIN, un mot de passe ou un virement par téléphone ou e-mail.
3. Transférez les messages suspects à suspect@safeonweb.be. Suivez aussi les conseils de Safeonweb, le site du CCB.
4. Surveillez vos comptes bancaires, surtout si votre numéro de compte figurait dans les fichiers.
5. Signalez toute fraude à la police ou sur le point de contact du SPF Économie. Notre guide explique comment porter plainte après une fuite de données.
6. Adressez-vous à l'APD si vous pensez que vos droits n'ont pas été respectés.

Pour la marche à suivre détaillée, lisez notre fiche que faire après une fuite de données. Apprenez aussi à reconnaître les arnaques au phishing. Pour replacer ce cas dans son contexte, consultez notre dossier sur les fuites de données en Belgique.

Questions fréquentes

Qu'est-ce que Limburg.net ?

Limburg.net est l'intercommunale de gestion des déchets de la province de Limbourg. Elle organise la collecte des déchets et gère les parcs à conteneurs. Elle détient donc des données sur de nombreux ménages limbourgeois.

Combien de personnes sont touchées par la fuite de Limburg.net ?

L'analyse finale, publiée le 26 juin 2024, compte 292 734 personnes touchées. Les premiers chiffres, plus élevés, comptaient des lignes ou des fichiers. Chaque personne concernée a reçu une lettre.

Limburg.net a-t-elle payé la rançon ?

Non. Le conseil d'administration a décidé le 17 janvier 2024 de ne pas payer. Les pirates ont alors publié les données le 20 janvier 2024.

Mon numéro de registre national a fuité : est-ce grave ?

Ce numéro sert à vous identifier auprès des administrations. Seul, il ne permet pas de vider un compte. Mais combiné à votre nom et votre adresse, il rend les arnaques plus crédibles. Restez vigilant face aux appels et messages inattendus.

Puis-je obtenir une indemnisation ?

C'est possible, mais pas automatique. Selon la VRT, il faudrait que la justice constate une protection insuffisante des données. Il faudrait aussi prouver un dommage directement lié à la fuite.