Cyberaanval legt bezorging en bevoorrading van Albert Heijn stil
Op 12 oktober meldde Ahold Delhaize een cyberincident. Albert Heijn, Etos en Gall & Gall zetten uit voorzorg systemen uit, waarna bezorging en bevoorrading vastliepen.
Wat er gebeurde
Albert Heijn, Etos en Gall & Gall zetten uit voorzorg een groot deel van hun systemen uit. Daarmee vielen niet alleen de websites en de thuisbezorging weg, maar ook de bevoorrading van de winkels.
Het incident begon op zondagmiddag 11 oktober bij moederbedrijf Ahold Delhaize. Op maandag lagen de websites, apps en klantenservice eruit, werden online bestellingen niet bezorgd en toonden de elektronische prijskaartjes nog de aanbiedingen van de week ervoor. Ook persoonlijke kortingen, koopzegels en Air Miles werkten niet. Van de zes Nederlandse distributiecentra van Albert Heijn lagen er een aantal helemaal stil, zei Margaret Versteden-van Duijn, topvrouw van Ahold Delhaize Europa. Volgens Daan Heijnk, hoofdredacteur van vakblad Distrifood, werden winkels daarna lukraak bevoorraad: in de ene winkel lagen alleen nog bananen, in de andere alleen rode paprika’s.
Het bleef niet bij Nederland. Ook Delhaize in België had problemen, en in de Verenigde Staten gingen de websites en apps van onder meer Food Lion, Stop & Shop en Hannaford uit de lucht. Volgens bronnen van de NOS zag Albert Heijn verdacht verkeer dat via servers in de VS, Polen, Moldavië en Turkije liep, mogelijk ook via servers van Aholds eigen Amerikaanse tak. Officieel is dat niet bevestigd. Op dinsdag begon Ahold Delhaize systemen gecontroleerd weer op te starten, en op woensdag verwachtte Albert Heijn al zijn distributiecentra weer draaiende te hebben.
Op 19 oktober bevestigde Ahold Delhaize dat kwaadwillenden achter de verdachte activiteit zaten. Het bedrijf had het incident binnen 24 uur gemeld bij het Nationaal Cyber Security Centrum (NCSC) en deed nu ook aangifte bij de politie. Volgens Ahold is er tot nu toe geen bewijs dat gevoelige gegevens van klanten, medewerkers of partners zijn meegenomen; geruchten over een losgeldeis sprak Versteden-van Duijn eerder tegen. De websites van Albert Heijn, Etos en Gall & Gall zijn weer in de lucht, en de thuisbezorging van Albert Heijn moet vanaf vrijdag 23 oktober weer op gang komen.
Systemen uit voorzorg uitzetten was volgens het onderzoek tot nu toe de juiste beslissing.
Ahold Delhaize-topman Frans Muller op 19 oktober 2026, samengevat
De achtergrond
Waarom een storing meteen de schappen raakt
Albert Heijn bevoorraadt zijn winkels vanuit zes distributiecentra in Nederland. De winkels houden weinig voorraad aan en worden snel na hun bestelling beleverd. Vallen de systemen weg, dan ligt de voorraad nog wel in het distributiecentrum, maar kan die niet meer naar de juiste winkels. Heijnk noemt dat de keerzijde van een model dat heel efficiënt is zolang alles werkt.
De Belgische winkels van Albert Heijn krijgen hun spullen normaal uit Tilburg. Toen dat centrum stillag, sprongen andere Nederlandse centra bij. Volgens een woordvoerster in België merkten klanten daar weinig van, al lag niet alles in de schappen.
Supermarkten zijn vaker doelwit
In april 2021 legde gijzelsoftware vervoerder Bakker Logistiek plat. Die kon dagenlang minder leveren, en bij Albert Heijn raakten de kaasschappen leeg. In november 2024 werd Ahold Delhaize in de VS getroffen; de criminele groep INC Ransom eiste die aanval op, en volgens een melding bij Amerikaanse toezichthouders werden daarbij gegevens van ruim 2,2 miljoen mensen buitgemaakt.
In hetzelfde weekend als bij Albert Heijn draaiden aanvallers in Frankrijk via internet de koeling op in meer dan 500 supermarkten, tot wel 50 graden. Fabrikant Danfoss wijst op verouderde apparaten die niet waren bijgewerkt. Het NCSC zag geen reden voor een verband met Ahold.
Wat de Cyberbeveiligingswet vraagt
Sinds 15 augustus geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Volgens de NOS vallen er zo’n 8.000 organisaties onder, van ziekenhuizen en drinkwaterbedrijven tot banken en de voedselsector, supermarkten inbegrepen. In 2021 kon de voedselsector bij een hack nog niet bij het NCSC terecht; nu moeten deze bedrijven zich er registreren.
Bij een ernstig incident volgt een eerste waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand. Voor supermarkten houdt de Nederlandse Voedsel- en Warenautoriteit toezicht. Die kijkt of een bedrijf passende maatregelen had genomen en een plan klaar had voor als een aanval lukt, en kan boetes opleggen. Bestuurders moeten de maatregelen zelf goedkeuren en er genoeg van weten.
Onze analyse
Wie alles centraal regelt, valt ook centraal stil
Het opvallendste aan dit incident is wat er tot nu toe niet is gebeurd: voor zover bekend zijn er geen gevoelige gegevens meegenomen, en geruchten over losgeld werden ontkend. Volgens bronnen van de NOS hield het snelle uitzetten de aanvallers juist uit de diepere systemen. De lege schappen kwamen dus vooral door de eigen noodrem. Dat was waarschijnlijk de juiste keuze, maar het laat zien hoe duur die keuze wordt als bevoorrading, bezorging, prijskaartjes en spaaracties aan dezelfde systemen hangen, in meerdere landen tegelijk.
Wat in de berichtgeving onderbelicht blijft: een noodrem is pas een goed plan als je weet wat er daarna nog werkt. In België week Albert Heijn uit naar andere distributiecentra, en dat scheelde veel. Zulke uitwijkroutes bedenk je niet tijdens een incident. De Franse koelaanval wordt vaak in één adem genoemd, maar is een ander verhaal: daar ging het om verouderde apparaten die open aan het internet hingen.
Onze inschatting: door de Cyberbeveiligingswet horen we vaker en eerder over zulke incidenten, in een fase waarin nog weinig zeker is. Joke Bodewits van advocatenkantoor Hogan Lovells Cadwalader wees er in de NOS op dat de eerste inschatting vaak niet klopt. Wie levert aan zo’n organisatie, krijgt meer vragen over hoe snel hij een incident meldt en wat hij doet als een koppeling wegvalt.
Wat opvalt
- Het spoor loopt mogelijk via Amerika Volgens bronnen van de NOS liep het verdachte verkeer mogelijk ook via servers van Aholds eigen Amerikaanse tak. Ahold heeft dat niet bevestigd.
- De lege schappen kwamen van de noodrem Het uitzetten hield de aanvallers volgens NOS-bronnen uit de diepere systemen. De stilstand was vooral de prijs van die voorzorg.
- Zelfs de prijskaartjes hingen eraan De elektronische schapkaartjes toonden de aanbiedingen van vorige week, en Albert Heijn vroeg klanten hun kassabon te bewaren voor gemiste kortingen en koopzegels.
- De melding ging sneller dan het onderzoek Ahold meldde het incident binnen 24 uur bij het NCSC, maar bevestigde pas na een week dat er kwaadwillenden achter zaten.
Wat het voor jou betekent
Draait jullie bedrijf op systemen die aan elkaar gekoppeld zijn? Dan kan één incident veel meer stilleggen dan je denkt.
- Weet welke koppelingen kritisch zijn Bij Albert Heijn vielen bezorging, bevoorrading en klantenservice tegelijk weg. Zet op een rij welke koppelingen en apparaten jullie werk stilleggen als ze uitvallen.
- Bedenk wat er doorgaat als er één uitvalt De winkels van Albert Heijn bleven open. Spreek vooraf af wat bij jullie zonder een systeem door kan, wie dat besluit en hoe je weer opstart.
- Ook leveranciers krijgen vragen Organisaties onder de Cyberbeveiligingswet moeten de risico’s van hun leveranciers in kaart brengen en mogen daar eisen aan stellen. Verwacht vragen over hoe jullie systemen beveiligd zijn en wat er gebeurt als ze uitvallen.
Wat wij ermee kunnen · Ontwikkeling
We lopen met je na welke koppelingen ertoe doen
We bouwen koppelingen tussen ERP, CRM, boekhouding en webshop, en maatwerk dat goed over te dragen is. We denken graag met je mee over welke koppelingen bij jullie kritisch zijn en wat er moet gebeuren als er één wegvalt.
Weet je welke koppeling jullie werk stillegt als hij uitvalt?
Vertel ons welke systemen er bij jullie aan elkaar hangen. We denken mee en reageren altijd binnen één werkdag.
