Fisco belga sofre ataque; diz que não houve acesso a dados

O registro dizia 'claimed' / 'unverified' com data 29/10. Isso estava desalinhado com os fatos. Não existe alegação de ator: quem anunciou o incidente foi a própria vítima, em comunicado oficial publicado em 28/10 às 14h04. O selo correto é 'confirmed' para o fato do ataque e da indisponibilidade, e o veredito é 'real'. A data de referência passa a ser 28/10; 29/10 é a data das reportagens da The Record e do The Register. Também corrigimos o campo organização: o nome da vítima é SPF Finances (FOD Financiën), não a manchete.

O que a vítima admite: ataque cibernético, indisponibilidade de MyMinfin, Tax-on-web e Biztax, e prorrogação de prazo (para 16/11, segundo imprensa que cita a agência). Também diz que uma grande parte das demais aplicações continua disponível, total ou parcialmente. O comunicado inicial diz que a proteção de dados é prioridade, que não há indícios de vazamento e que o ponto segue sob investigação.

O que a imprensa belga acrescenta: o porta-voz Francis Adyns disse que a invasão ocorreu na noite de terça para quarta e foi detectada em poucas horas. Segundo a RTBF e La Libre, a administração afirma que o ataque 'não pôde ser suficientemente desenvolvido' para modificar ou acessar dados, que elementos potencialmente infectados foram isolados e que os serviços serão restaurados em ambiente isolado, sem previsão de retorno. A RTBF diz que polícia federal e CCB atuam na investigação. A Brussels Times e a La Libre resumem como 'nenhum dado vazou'. Essa formulação é mais forte que a do comunicado inicial. O leitor deve tratá-la como declaração da vítima, não como achado forense.

Há uma tensão a registrar. A agência diz que o ataque não avançou o bastante, mas ao mesmo tempo identificou 'várias tentativas de alterar partes do ambiente digital' e precisa reconstruir serviços em ambiente isolado, sem data. Isso é compatível com contenção prudente, mas também com uma presença atacante mais extensa do que o discurso inicial sugere. Nenhuma fonte independente do órgão sustenta qualquer das duas leituras. Não há análise técnica pública de pesquisadores.

Quanto a atores: não encontramos reivindicação em nenhuma fonte consultada. Não encontramos número de registros alegados nem confirmados, então esses campos ficam nulos e data_types fica vazio. Ausência de reivindicação não prova ausência de vazamento, mas também não autoriza supor um. Não pesquisamos fóruns criminosos, em respeito à regra de só metadados e porque a lacuna é de fontes primárias.

Contexto próximo: em 21/10 o CCB emitiu alerta sobre duas falhas críticas no PHP, e o SPF Finances (junto de outros órgãos belgas) tirou sites do ar por precaução. A The Record menciona esse alerta, e as reportagens da Brussels Times descrevem a onda de desligamentos. Nenhuma fonte liga esses episódios ao ataque de 28/10. Tratamos a correlação temporal como pista a ser testada, não como causa. Não identificamos CVE nas fontes lidas, por isso o campo permanece vazio.

Um relato de leitor no De Standaard (visto só no agregador Krantenkoppen, texto completo não lido) menciona um SMS estranho ao tentar entrar no MyMinfin. É anedota não verificada; pode ser phishing oportunista que aproveita a notícia, e não tem ligação demonstrada com a intrusão. Não elevamos isso a juízo.

Contribuintes belgas ficaram sem acesso a MyMinfin, Tax-on-web e Biztax por pelo menos dois dias (28 e 29/10). Quem tinha declaração com rendimentos específicos vencendo em 31/10 ganhou prazo até 16/11. Segundo a agência, parte das outras aplicações segue disponível, e o atendimento telefônico continua funcionando segundo a ICT Magazine. Não há, até onde apuramos, confirmação de dano a dados pessoais ou fiscais; a agência afirma que não houve acesso.