Albert Heijn bezorgt pas vanaf 23 oktober weer boodschappen, bijna twee weken na het cyberincident

De bezorging begint pas eind deze week weer

Albert Heijn heeft de hervatting van de thuisbezorging opnieuw uitgesteld, nu naar vrijdag 23 oktober. De bezorgers gaan vanaf die dag geleidelijk weer rijden, niet in een keer op volle sterkte. Alle bestellingen die voor die datum waren ingepland, zijn geannuleerd en de betaalde bedragen worden teruggestort.

Het is het derde uitstel op rij. Donderdag meldde de keten nog dat er tot zeker zondag niet bezorgd zou worden, zaterdag werd dat opgerekt naar dinsdag 20 oktober, en zondag kwam daar opnieuw een paar dagen bij. Daarmee ligt de bezorgdienst van de grootste supermarktketen van het land bijna twee weken stil.

Hoe het incident verliep

De problemen begonnen op zondag 11 oktober, toen Albert Heijn systemen offline haalde vanwege wat het bedrijf een cybersecurity-incident noemt. Vanaf dat moment waren de website, de app, de klantenservice en de spaarsystemen niet of nauwelijks bereikbaar, en kwam ook de bevoorrading van de winkels in de knel.

Woensdag draaiden de distributiecentra weer volledig en werden de winkels weer meerdere keren per dag bevoorraad. Eerst kwamen de houdbare producten op gang, daarna de verse artikelen. In de dagen daartussen zagen verslaggevers in filialen lege plekken, vooral bij groente en fruit, al verschilde het beeld sterk per winkel en per productgroep.

Wat er inmiddels wel en niet werkt

De app en de website zijn sinds zondag weer bereikbaar. Klanten kunnen inloggen en hun spaarsaldo inzien, en volgens Albert Heijn zijn alle opgebouwde tegoeden en punten bewaard gebleven. Wie zegels is misgelopen, kan die bij de kassa alsnog claimen op vertoon van de kassabon.

Bestellen kan nog niet, en de klantenservice is nog altijd onbereikbaar. Persoonlijke kortingen en spaaracties waren een groot deel van de periode niet beschikbaar. Winkelen in de filialen zelf is al die tijd gewoon mogelijk gebleven.

De schade loopt in de tientallen miljoenen

Over de kosten doet Albert Heijn zelf geen uitspraken, maar buitenstaanders hebben wel gerekend. Emeritus hoogleraar Cor Molenaar van de Erasmus Universiteit Rotterdam komt uit op ongeveer tien miljoen euro aan directe kosten, en tekent daarbij aan dat dat verlies exponentieel kan oplopen naarmate het langer duurt. Retaildeskundige Erik Hemmes schat de gemiste omzet uit winkels en online verkoop op zo'n 21 miljoen euro.

Daarbij komt een verlies dat lastiger in geld is uit te drukken. Concurrerende supermarkten profiteren van de storing, en klanten die twee weken ergens anders boodschappen doen, komen niet allemaal vanzelf terug.

Over de oorzaak zegt het bedrijf niets

Albert Heijn laat weten dat het over de aard en de oorzaak van het incident op dit moment geen uitspraken kan doen. Wie erachter zit, is niet bekendgemaakt. Volgens bronnen van de NOS ging het om een hackaanval. Het bedrijf zegt tot nu toe geen aanwijzingen te hebben dat persoonsgegevens van klanten of medewerkers zijn buitgemaakt.

Molenaar vermoedt dat het eerder om een aanval met overbelasting vanaf veel computers tegelijk ging dan om een datadiefstal. Dat blijft een vermoeden van een buitenstaander, want het bedrijf heeft die lezing niet bevestigd. Wel waarschuwde Albert Heijn klanten tijdens de storing voor phishingberichten die op het incident inspelen.

De meldplicht die sinds augustus geldt

Het incident is het eerste grote van deze omvang sinds de Cyberbeveiligingswet op 15 augustus van dit jaar in werking trad. Die wet geldt voor ongeveer achtduizend organisaties in achttien sectoren, en supermarktketens vallen daar onder. Een incident moet binnen 24 uur bij het Nationaal Cyber Security Centrum worden gemeld, met een vervolgmelding binnen 72 uur. Het centrum geeft de informatie door aan de betrokken toezichthouder, voor supermarkten is dat de Nederlandse Voedsel- en Warenautoriteit.

De wet legt de verantwoordelijkheid nadrukkelijk hoger in de organisatie dan voorheen, met persoonlijke aansprakelijkheid voor bestuurders. Bedrijven kunnen niet meer volstaan met de redenering dat beveiliging een zaak van de IT-afdeling is.

Wat dit voor Nederland betekent

De storing laat zien hoeveel van de dagelijkse boodschappenvoorziening inmiddels op digitale systemen draait. Niet alleen de webwinkel, maar ook de aansturing van distributiecentra, de prijzen in de schappen en de spaarprogramma's liggen stil zodra de centrale systemen eruit gaan. Een keten van deze omvang die twee weken niet kan bezorgen, raakt ook mensen die moeilijk zelf naar de winkel kunnen.

Daarnaast is dit de eerste echte praktijktest van de nieuwe meldplicht. Hoe de toezichthouders met deze zaak omgaan, geeft andere bedrijven in de achttien aangewezen sectoren een eerste beeld van wat er bij een incident van hen wordt verwacht.

Wat nog niet vaststaat

Of de bezorging op 23 oktober daadwerkelijk hervat wordt, is afwachten, want de eerdere twee data zijn ook niet gehaald. Albert Heijn spreekt bovendien over een geleidelijke herstart, zonder te zeggen hoeveel capaciteit er dan beschikbaar is.

Ook is niet bekend of het incident bij de politie is gemeld, hoe de melding bij het Nationaal Cyber Security Centrum is verlopen en of er losgeld is gevraagd. Zolang het bedrijf zich over de oorzaak op de vlakte houdt, blijft onduidelijk of andere ketens met hetzelfde probleem te maken kunnen krijgen.