Albert Heijn geeft nu eindelijk toe slachtoffer te zijn geworden van een hack. Vandaag heeft moederconcern Ahold Delhaize formeel aangifte gedaan bij de Nederlandse politie; een week nadat hackers in zijn systemen inbraken.
Was sneller aangifte gedaan dan had de politie eerder kunnen beginnen met een onderzoek naar de aanvallers. Vlot handelen maakt de kans groter dat de cybercriminelen worden gepakt, wat ook andere bedrijven weer beschermt. Maar Ahold Delhaize vond het niet nodig snel aangifte te doen. Ook liet het concern dagenlang in het midden of aanvallers zijn systemen waren binnengedrongen.
De grootgrutter spreekt in een persbericht nu van ‘verdachte activiteiten als gevolg van kwaadwillende acties van derden.’ Sinds vorige week maandag hield Ahold Delhaize het op een ‘cybersecurity incident’, een begrip dat een brede strekking heeft en niet per se een hack van buitenaf hoeft te betekenen. Pas nadat minister David van Weel (Justitie en Veiligheid) er eind vorige week bij Ahold Delhaize op aandrong om aangifte te doen, besloot topman Frans Muller tot deze stap. Security-expert Ronald Prins (Hunt & Hackett) sprak in het AD zijn verbazing uit over het feit dat het concern daar zo lang mee draalde.
Meer openheid nodig
Minister Van Weel vroeg het concern tevens om meer openheid, wat nu ook is gebeurd. Ahold Delhaize blijft weliswaar over een cyberbeveiligingsincident spreken, maar voegt eraan toe dat ruim een week geleden verdachte activiteiten in zijn it-infrastructuur zijn ontdekt. Het concern zegt direct actie te hebben ondernomen, onder meer door cyberbeveiligingsexperts in te schakelen voor onderzoek. Uit voorzorg zijn toen bepaalde systemen offline gehaald. Binnen 24 uur na ontdekking van de kwaadwillende activiteiten is het Nationaal Cyber Security Centrum (NCSC) in Nederland op de hoogte gesteld.
Hoewel het onderzoek nog gaande is, heeft de grootgrutter op dit moment geen aanwijzingen dat er gevoelige gegevens van klanten, medewerkers of partners zijn buitgemaakt. Om die reden zag de politie in eerste instantie er van af om uit eigen beweging een onderzoek te starten.
Voorzorgsmaatregel
Het uitschakelen van een aantal systemen voorkwam erger. Frans Muller, topman van Ahold Delhaize: ‘Het offline halen van systemen ter bescherming was een voorzorgsmaatregel die gevolgen had voor de meeste van onze merken in Europa en de Verenigde Staten. Het onderzoek tot nu toe bevestigt dat dit de juiste beslissing was.’
Albert Heijn zegt goede vooruitgang te boeken met het herstel van de websites, apps en diensten van haar merken. De website en app van Albert Heijn zijn inmiddels weer online; de thuisbezorging wordt naar verwachting vanaf aanstaande vrijdag hervat. Ook de websites van Etos en Gall & Gall zijn weer beschikbaar voor klanten. De e-commercediensten van de merken in de Verenigde Staten (Ahold Delhaize USA) zullen naar verwachting de komende dagen weer beschikbaar komen. In België is de e-commerce inmiddels weer volledig operationeel.
De stemmingmakerij over sneller aangifte doen gaat om het idee dat de politie betere onderzoekers heeft dan wat de markt biedt. De mening van Ronald Prins veranderd niks aan de feiten want de vraag aan de redactie is waarom beoordelen we de weerbaarheid van een organisatie vooral op het feit dat haar dienstverlening stilvalt als preventief uitschakelen van systemen een verstandige beveiligingsmaatregel is?