Cyberaanval bij Albert Heijn krijgt strafrechtelijk vervolg: ‘Eerst alleen een uitnodiging om aangifte te doen’

De politie is een strafrechtelijk onderzoek gestart naar de cyberaanval bij Ahold Delhaize, het moederbedrijf van Albert Heijn. Daarmee heeft een incident dat begon met uitgeschakelde systemen en lege schappen een justitieel vervolg gekregen. De politie laat weten dat er een onderzoek loopt, maar zegt verder niets over de inhoud ervan.

Het onderzoek volgt op een aangifte van het winkelconcern, dat ook Gall & Gall en Etos onder zijn vleugels heeft. Aan die aangifte ging een duidelijke oproep vooraf. Politie en Openbaar Ministerie vroegen het bedrijf om aangifte te doen, omdat opsporing en vervolging van daders veel meer kans van slagen hebben als slachtoffers snel melden wat er is gebeurd.

Eerst alleen een uitnodiging om aangifte te doen

Op 14 oktober meldde de politie dat er op dat moment nog geen strafrechtelijk onderzoek liep. Wel was er contact geweest met Ahold Delhaize. Het bedrijf was uitgenodigd om aangifte te doen, omdat bij politie en Openbaar Ministerie veel vragen over het cybersecurityincident binnenkwamen.

De politie legde uit waarom die aangifte zo belangrijk is. Om succesvol te kunnen opsporen en vervolgen is het cruciaal om altijd zo snel mogelijk informatie van slachtoffers te krijgen. Bedrijven doen daarom volgens de politie het best zo snel mogelijk aangifte na een cyberincident.

Aangifte op maandag, onderzoek een week later

Ahold Delhaize deed uiteindelijk op maandag aangifte bij de Nederlandse politie. Het concern sprak daarbij van kwaadwillende acties van derden. De aangifte kwam ruim een week na het begin van de problemen. Een exacte datum noemen de beschikbare bronnen niet.

De politie bevestigt nu dat er een strafrechtelijk onderzoek is gestart. De woordvoerder wil niet zeggen op welke dag dat gebeurde, omdat hij daar geen meerwaarde in ziet. Ook verder doet de politie geen uitspraken, omdat het onderzoek nog loopt. Het incident noemt de politie een cyberincident.

Systemen uit voorzorg offline

Op 11 oktober gingen de systemen van onder meer Albert Heijn offline. Ahold Delhaize haalde ze uit voorzorg uit de lucht. Door het cyberincident was het niet langer veilig om de websites en apps online te houden, zo liet het bedrijf weten.

De gevolgen waren direct merkbaar voor klanten. De websites en apps van de merken waren dagenlang onbereikbaar. Ook de winkelsystemen kwamen langdurig plat te liggen. Een IT-incident was het woord dat het concern zelf gebruikte voor de problemen die op 11 oktober begonnen.

Distributiecentra lagen stil

Ook achter de schermen ging veel mis. Meerdere distributiecentra lagen stil, waardoor de supermarkten niet meer goed werden bevoorraad. Dat leidde tot lege schappen in de winkels van Albert Heijn, een beeld dat tijdens de aanval veel klanten zelf zagen.

De fysieke winkels bleven wel gewoon open. Klanten konden er boodschappen doen, maar ze konden geen gebruikmaken van persoonlijke kortingen via hun bonuskaart. Ook het sparen van punten was tijdelijk niet mogelijk. Daardoor merkten ook trouwe klanten dat het systeem achter de winkel niet functioneerde.

Bezorging wekenlang verstoord

Ook de thuisbezorging lag stil. Klanten kregen hun bestellingen niet bezorgd en konden via de website of app geen nieuwe bestellingen plaatsen. De eerste klanten konden op woensdag weer online boodschappen bestellen, een stap in het herstel na de aanval.

Vanaf vrijdagochtend konden klanten na bijna twee weken weer online bestellen en hun boodschappen laten bezorgen, bij mensen thuis en op het werk. Dat gebeurde eerst voor een beperkte groep vaste klanten en later voor alle klanten. Wie een bestelling had geplaatst die niet werd bezorgd, kreeg een tegoed.

Premiumleden moeten nog wachten

Niet alle diensten kwamen tegelijk terug. Premiumleden bij Albert Heijn moesten nog wachten voordat ze alle mogelijkheden van hun betaalde lidmaatschap weer konden gebruiken. Het bedrijf liet weten dat de Bonus Box met persoonlijke aanbiedingen vanaf de daaropvolgende maandag weer in hun app terugkeert.

Ook de klantenservice van Albert Heijn werd weer opgestart. Daarmee keert het bedrijf stap voor stap terug naar de normale gang van zaken. Dat geldt ook voor Gall & Gall en Etos, waarvan de websites na de grote cyberstoring eveneens weer bereikbaar werden.

Geen aanwijzingen voor gestolen gegevens

Een belangrijke vraag bij elke hack is of er gevoelige gegevens zijn buitgemaakt. Ahold Delhaize meldt dat het vooralsnog geen aanwijzingen heeft dat gevoelige informatie van klanten, medewerkers of partners is gestolen. Het onderzoek van het bedrijf zelf loopt daarmee nog door.

Wel zou uit het eigen onderzoek van het bedrijf zijn gebleken dat de verdachte activiteit het gevolg was van kwaadwillende acties van derden. Wie daarachter zit en hoe de aanval precies in zijn werk ging, is nog niet bekend. Daarover doen noch het bedrijf noch de politie uitspraken.

Miljoenen euro’s omzet misgelopen

De commerciële schade is groot. Retaildeskundigen schatten dat Albert Heijn door het incident 100 tot 200 miljoen euro aan omzet kan zijn misgelopen. Dat bedrag is een schatting en geen vastgesteld cijfer. Het geeft wel aan hoe groot de impact is van een aanval op de logistiek van een supermarktketen.

De gevolgen reikten verder dan alleen de kassa. Klanten die op bezorging rekenden, stonden zonder boodschappen. Winkels met lege schappen verloren inkomsten, en medewerkers in de distributiecentra konden hun werk niet doen. Zo raakte één digitale aanval meerdere onderdelen van de keten tegelijk.

Wat het onderzoek nu moet opleveren

Ahold Delhaize zegt dat het aan de politie was om te besluiten een strafrechtelijk onderzoek te starten. Dat hebben ze vandaag bekendgemaakt, aldus het concern. Het bedrijf zegt de politie bij het onderzoek te ondersteunen. De politie doet zelf geen uitspraken over de stand van zaken.

Voor de politie past de zaak in een bredere aanpak. Cybercrime is volgens de politie geen verzameling afzonderlijke delicten, maar een crimineel ecosysteem. Achter vrijwel iedere aanval schuilt een keten van samenwerkende daders, middelen en diensten. Politie en OM willen dat netwerk in kaart brengen en waar mogelijk vervolgen.