Politie start strafrechtelijk onderzoek naar cyberaanval bij Ahold Delhaize

De politie start deze week een strafrechtelijk onderzoek naar de cyberaanval bij Ahold Delhaize, maar noemt de exacte startdag niet, bevestigt een woordvoerder aan de NOS.

Voor Nederlandse retailers die digitale verkoop, voorraad en bezorging combineren, lopen herstel en opsporing nu naast elkaar. Klanten kunnen weer boodschappen bestellen, maar de precieze oorzaak, de gebruikte toegangsmethode en de mogelijke gegevensimpact zijn nog niet publiek vastgesteld.

De aangifte opent de strafrechtelijke fase

Het cyberincident begon op zondagmiddag 11 oktober. Ahold Delhaize schakelde uit voorzorg systemen uit, waarna onder meer websites, apps en online bezorging uitvielen. Op 14 oktober meldden politie en Openbaar Ministerie dat er toen nog geen strafrechtelijk onderzoek liep en Ahold was uitgenodigd om aangifte te doen. De Cyberbeveiligingswet verplicht organisaties die eronder vallen incidenten bij het NCSC te melden. De politie zei dat zulke meldingen technische kenmerken kunnen opleveren die met andere aanvallen te vergelijken zijn. Een melding bij het NCSC is een andere stap dan een aangifte bij de politie.

Ahold deed op maandag 19 oktober formeel aangifte en meldde de verdachte activiteit binnen 24 uur aan het NCSC. Het concern zei dat het eigen onderzoek kwaadwillige acties van derden had vastgesteld en dat er toen geen aanwijzingen waren voor buitgemaakte gevoelige gegevens. Dat volgde op de publieke oproep van politie en OM om aangifte te doen, toen er nog geen strafrechtelijk onderzoek liep. Of de politie al een onderzoek was begonnen, bleef open. De politiepagina beschrijft de stand op 14 oktober; nu bevestigt de politie aan NOS dat het onderzoek deze week is gestart.

De oorzaak en de startdag blijven onbekend

De politie geeft geen details over het lopende onderzoek en noemt de startdag niet. De openbare politiepagina is voor het laatst bijgewerkt op 14 oktober, toen er nog geen onderzoek liep. De nieuwe bevestiging staat daarmee in berichtgeving na rechtstreeks contact met de politie.

Ook de technische reconstructie ontbreekt. Ahold spreekt van kwaadwillige acties van derden, maar heeft niet bekendgemaakt welke systemen zijn benaderd, hoe de toegang is verkregen of welke techniek is gebruikt. Er is geen openbare bevestiging van ransomware, een misbruikte kwetsbaarheid of een specifieke dadergroep. Ahold meldde bij de aangifte dat het tot dan toe geen aanwijzingen had dat gevoelige gegevens van klanten, medewerkers of partners waren buitgemaakt. Dat is een tussenstand van het eigen onderzoek, geen definitieve conclusie van politie of justitie over alle mogelijke toegang tot gegevens.

De operationele gevolgen waren zichtbaar: Ahold schakelde websites, apps en logistieke systemen uit na het incident, maar maakte niet bekend welke systemen bij de verdachte activiteit betrokken waren. Het uit voorzorg uitschakelen zegt op zichzelf niets over de aanvalsmethode. Die is nog niet gepubliceerd.

Bezorging herstelt op een eigen tijdlijn

Albert Heijn meldde op 23 oktober dat online bestellen weer mogelijk was voor alle klanten. De bezorgcapaciteit stond toen op ongeveer een derde van normaal. Het bedrijf verwachtte die op woensdag 28 oktober weer op het gebruikelijke niveau te hebben. De eerste bezorgingen die ochtend gingen naar klanten met een Bezorgbundel en zakelijke klanten. De chatklantenservice was weer bereikbaar en de telefonische lijn werd geleidelijk opgestart.

De winkelbevoorrading was volgens Albert Heijn al volledig hervat. Op 14 oktober waren alle distributiecentra weer operationeel, terwijl online bestellen, bezorgen en klantenservice nog stillagen. Bezorgcapaciteit en klantcontact volgden dus een andere herstelvolgorde dan de aanvoer naar winkels.

Voor bedrijven met meerdere digitale kanalen zijn daarom twee statussen tegelijk van belang: welke diensten klanten weer kunnen gebruiken en welke onderdelen van het incident technisch zijn verklaard. In dit geval is de eerste status deels meetbaar in bestellingen en bezorgcapaciteit. Over de tweede hebben politie en Ahold nog geen technische details gepubliceerd.

Franse supermarkten tonen een andere kwetsbare schakel

In dezelfde week raakten cyberaanvallen ook Franse supermarktketens, maar daar ging het om koelsystemen. AP meldde dat aanvallers op afstand de koelingen in honderden Franse supermarkten overnamen en winkels verse en diepvriesproducten moesten weggooien. Het NCSC zei tegen AP geen reden te zien om deze incidenten als gelinkt te beschouwen. De Franse cyberaanval die de koelinstallaties van supermarkten verstoorde is een parallel in de retailsector, geen bewijs voor dezelfde aanvalsgroep of techniek bij Ahold.

Ahold heeft de geraakte systemen niet bij naam genoemd. De openbare informatie over de Franse aanvallen kan daardoor niet worden gebruikt om de technische oorzaak bij Albert Heijn in te vullen. De vergelijking laat alleen zien dat cyberincidenten in supermarkten zowel digitale verkoop en distributie als fysieke processen kunnen raken. Voor deze zaak blijft de vraag welke systemen zijn benaderd onderdeel van het lopende onderzoek.

De politie bevestigt nu een strafrechtelijk onderzoek, maar heeft geen startdag of technische toelichting gepubliceerd. De concrete volgende mijlpaal die Albert Heijn noemt, is woensdag 28 oktober voor de verwachte normale bezorgcapaciteit. De operationele status en de strafrechtelijke reconstructie lopen daarmee aantoonbaar naast elkaar.