Ahold Delhaize bevestigt kwaadwillige acties en doet aangifte

Ahold Delhaize doet op 19 oktober aangifte bij de Nederlandse politie, bevestigt kwaadwillige acties van anderen en meldt nog geen bewijs dat gevoelige gegevens zijn buitgemaakt; het onderzoek loopt nog.

Voor retailers met online verkoop keren diensten bij Albert Heijn in losse stappen terug. De site en app zijn bereikbaar, maar nieuwe bestellingen plaatsen kan nog niet. Bezorging wordt naar verwachting vanaf vrijdag 23 oktober geleidelijk hervat, terwijl de winkels openbleven.

De aangifte volgt op een politie-uitnodiging

De politie meldde op 14 oktober dat er toen nog geen strafrechtelijk onderzoek liep en Ahold was uitgenodigd om aangifte te doen. De politie zei ook dat Ahold het Nationaal Cyber Security Centrum al had ingelicht volgens de meldplicht. Ahold zegt nu dat het NCSC binnen 24 uur na ontdekking van de verdachte activiteit bericht kreeg en sindsdien updates ontvangt. Het concern zegt direct cybersecurity-experts te hebben ingeschakeld om de activiteit te onderzoeken. Het formele politierapport is een volgende stap; de verklaring van Ahold bevestigt niet of de politie inmiddels een strafrechtelijk onderzoek is begonnen.

Computable vatte de stap in de kop samen als erkenning van een hack. De verklaring van Ahold zelf spreekt over verdachte activiteit die door kwaadwillige acties van anderen is veroorzaakt. Ze noemt geen aanvaller, aanvalsmethode of misbruikte kwetsbaarheid. De bevestiging is daarmee concreter dan de eerdere term cybersecurity-incident, maar geeft nog geen technische reconstructie.

De bestelknop blijft de open stap

De storing begon zondagmiddag 11 oktober. Ahold schakelde toen systemen uit voorzorg uit na het cyberincident, waardoor websites, apps, klantenservice en online bezorging tijdelijk uitvielen. De herstelvolgorde liep daarna per dienst. Op 17 oktober annuleerde Albert Heijn online bestellingen tot en met dinsdag 20 oktober en nam het geen nieuwe orders aan. Een dag later stonden de AH-website en Mijn AH-app weer online, terwijl online bestellen nog niet mogelijk was.

De update van maandag voegt daar een klantfunctie aan toe: klanten kunnen weer volle spaarkaarten voor een tweede kaartje gratis inwisselen via de app of de uitjes- en bioscoopwebsites. Albert Heijn meldt dat bestellingen tot en met donderdag 22 oktober vervallen en vooraf betaalde orders binnen enkele dagen worden terugbetaald. De datum waarop nieuwe bestellingen kunnen worden geplaatst ontbreekt en de klantenservice is nog niet bereikbaar.

Dat onderscheid is praktisch voor organisaties die zelf bestellen, klantcontact en bezorging combineren. Een bereikbare website kan assortiment en tegoeden tonen zonder bestellingen te verwerken. Een rijdende bezorgdienst zegt op zichzelf ook niet wanneer nieuwe orders worden aangenomen. Albert Heijn meldt dat de winkelbevoorrading weer volgens het gewone ritme loopt, terwijl de digitale verkooproute nog niet open is.

Herstel verschilt per land en merk

De storing trof volgens Ahold de meeste merken in Europa en de Verenigde Staten, met verschillende gevolgen per merk. De winkels bleven overal open. In België is e-commerce weer volledig beschikbaar; in Centraal- en Zuidoost-Europa is het merendeel van de websites en apps terug. Ook de websites van Etos en Gall & Gall zijn weer beschikbaar. De e-commercediensten van de Amerikaanse merken komen naar verwachting de komende dagen terug. Dat zijn afzonderlijke herstelstanden binnen één concern, niet één moment waarop alle merken tegelijk weer volledig online zijn.

Voor Nederlandse teams is de vergelijking relevant omdat een groepsbrede status weinig zegt over één kanaal of merk. De AH-app kan functies terugkrijgen terwijl het bestelproces nog gesloten is. Een Amerikaanse webshop kan nog in herstel zijn terwijl e-commerce in België alweer volledig werkt. Ahold noemt geen gedeelde hersteldatum voor die diensten.

Franse aanval raakte een ander systeem

Dezelfde week trof een afzonderlijk cyberincident Franse supermarkten. AP beschrijft hoe aanvallers op afstand koelsystemen overnamen, waardoor temperaturen tot 50 graden Celsius opliepen en verse en diepvriesproducten werden weggegooid. Ook de aanval op de koeling bij honderden Franse supermarkten raakte een andere operationele schakel dan de bestel- en klantdiensten bij Albert Heijn. Ahold heeft de getroffen systemen niet bij naam genoemd. De Franse zaak biedt daarom geen basis om de techniek bij Ahold af te leiden.

De verklaring laat de oorzaak open

Ahold zegt dat het onderzoek nog loopt en dat het geen verdere details deelt die beveiligingsmaatregelen kunnen schaden of het herstel kunnen hinderen. Het concern meldt op dit moment geen bewijs dat gevoelige gegevens van klanten, medewerkers of partners zijn meegenomen. Dat is een tussentijdse stand van het onderzoek, geen definitieve conclusie over alle toegang tot systemen of gegevens. De verklaring zegt niet of bestanden zijn ingezien, gekopieerd of versleuteld.

De herstelreeks loopt nu van preventief uitschakelen naar aangifte en gefaseerde dienstverlening. Fysieke winkels en bevoorrading zijn terug op hun normale ritme; de app herstelt verder, maar online orderinvoer en klantenservice ontbreken nog. Ahold noemt geen datum voor het opnieuw openen van de bestelknop en geeft geen technische details over de kwaadwillige activiteit. De volgende zichtbare mijlpaal voor de online verkoop is daarom het moment waarop klanten weer nieuwe bestellingen kunnen plaatsen.