Le Service public fédéral (SPF) Finances, l’administration fiscale belge, a été visé par une cyberattaque dans la nuit du 27 au 28 octobre 2026. Par précaution, l’administration a coupé MyMinfin, Tax-on-web et Biztax. Aucune fuite de données n’a été constatée et l’échéance du 31 octobre pour certaines déclarations est repoussée au 16 novembre.
Une intrusion détectée en quelques heures
Le SPF a annoncé l’attaque le mercredi 28 octobre, selon la RTBF. Le lendemain, l’agence Belga, reprise par La Libre, a apporté des précisions : l’intrusion a eu lieu dans la nuit de mardi à mercredi et a été repérée en quelques heures. Le porte-parole Francis Adyns indique que le fisc a repéré plusieurs tentatives visant à modifier son environnement numérique.
Les éléments potentiellement infectés ont été isolés et le SPF estime avoir stoppé l’intrusion. D’après lui, l’attaquant n’est pas allé assez loin pour modifier des systèmes ou accéder à des données. L’enquête pour retrouver les responsables mobilise la police fédérale et le Centre pour la cybersécurité Belgique (CCB). Selon The Record, ils n’ont pas encore été identifiés et la manière dont ils sont entrés dans les systèmes n’a pas été rendue publique.
Pourquoi les services restent coupés
Si l’intrusion est contenue, pourquoi MyMinfin ne revient-il pas ? Le SPF explique, selon Belga, que ses services doivent être rétablis dans un environnement isolé, ce qui prend du temps, afin d’écarter tout nouveau risque. Aucune date de remise en ligne n’est donnée. C’est une démarche classique après une intrusion : remettre en route trop vite des systèmes qui pourraient encore contenir une porte dérobée exposerait à une seconde attaque.
D’après The Record, plusieurs autres applications de l’administration sont restées totalement ou partiellement opérationnelles. Le média rappelle aussi que le SPF avait déjà coupé plusieurs de ses sites plus tôt en octobre, en invoquant un « problème de sécurité international », au moment d’une alerte sur deux failles critiques du langage PHP. Aucun lien entre les deux épisodes n’a été établi publiquement par les autorités.
Toujours selon The Record, le Centre pour la cybersécurité Belgique avait indiqué n’avoir reçu aucun signalement d’attaque réussie exploitant ces failles PHP contre des sites belges. Il serait donc prématuré de relier l’intrusion des 27 et 28 octobre à cette vulnérabilité. Cité par le Brussels Times, le SPF dit suivre la situation de près et promet un rétablissement aussi rapide que possible, sans détailler la porte d’entrée utilisée par l’attaquant ni le type d’outil employé.
Ce que cela change pour les contribuables et les entreprises
Le premier effet concerne le calendrier. Les déclarations portant sur certains revenus spécifiques devaient être déposées au plus tard le 31 octobre. Selon Belga, cette date est repoussée au 16 novembre. Le Brussels Times rapportait le 28 octobre que le ministère promettait une prolongation suffisante, avant que la nouvelle date ne soit fixée.
Pour les indépendants, les comptables et les PME qui passent par Biztax ou MyMinfin, l’indisponibilité complique aussi les démarches courantes. Quelques réflexes utiles :
- noter la nouvelle échéance du 16 novembre pour les déclarations concernées ;
- ne pas chercher d’adresse alternative pour accéder aux services : seuls les canaux officiels du SPF font foi ;
- redoubler de méfiance face aux courriels ou SMS au nom du fisc, car une panne médiatisée est une aubaine pour les fraudeurs.
Une vague qui touche les services publics
Cette attaque s’inscrit dans un contexte où les administrations deviennent des cibles régulières, en Belgique comme ailleurs. Elle montre surtout l’intérêt d’une détection rapide : selon le SPF, quelques heures ont suffi pour repérer l’intrus, et l’attaque n’a pas pu se développer assez pour atteindre les données. Le coût reste réel pour les usagers, privés de leurs services en ligne à l’approche d’une échéance fiscale.
Questions fréquentes
Mes données fiscales ont-elles été volées ?
Le SPF Finances affirme qu’aucune donnée n’a fuité et que l’attaquant n’a pas pu accéder aux données. L’analyse se poursuit et ce point reste surveillé.
Quelle est la nouvelle date limite ?
Selon l’agence Belga, l’échéance du 31 octobre pour les déclarations de revenus spécifiques est reportée au 16 novembre 2026.
Quand MyMinfin sera-t-il de nouveau accessible ?
Aucune date n’a été annoncée. Le SPF reconstruit ses services dans un environnement isolé, ce qui demande du temps.
Sources
- Les services numériques du SPF Finances inaccessibles suite à une cyberattaque — RTBF, 2026-10-28
- Cyberattaque du SPF Finances : aucune donnée n'a fuité, mais plusieurs services restent hors ligne — La Libre (Belga), 2026-10-29
- Belgian Finance Ministry hit by cyberattack, MyMinfin and other services offline — The Brussels Times, 2026-10-28
- Cyberattack disrupts Belgian tax services before filing deadline — The Record, 2026-10-29