Albert Heijn is sinds zondag offline door een ‘cybersecurity incident’. Het bedrijf heeft logistieke systemen stilgelegd, waardoor klanten kortingen mislopen en schappen leegstaan. Wat leert deze situatie over de digitalisering van de supermarktbranche en voedselzekerheid?
Lisa Belt en Chiraz Hassoumi zijn nieuwsverslaggevers van de Volkskrant.
Albert Heijn spreekt van een ‘cybersecurity incident’. Wat moeten we ons daarbij voorstellen?
De precieze oorzaak van de grootschalige problemen bij Albert Heijn en andere bedrijven van moederbedrijf Ahold Delhaize is nog onduidelijk. Experts vermoeden dat het gaat om een hack, maar het bedrijf heeft daar nog geen uitspraken over gedaan.
Een aantal systemen is ‘preventief’ uitgeschakeld, met een logistieke chaos in de supermarkten tot gevolg. Dat is volgens Cindy Wubben, cybersecurity expert bij softwareleverancier Visma, een logische eerste stap nadat er een risico is ontdekt. ‘Als er ergens een flinke alarmbel afgaat, schakel je de systemen uit zodat je kunt onderzoeken wat er is gebeurd. Op die manier voorkom je ook dat een mogelijk probleem zich verder verspreidt.’
Volgens de expert is het mogelijk dat er uiteindelijk niets ernstigs aan de hand is. Het incident heeft waarschijnlijk te maken met (een risico op) ongeautoriseerde toegang tot de systemen. Andere opties, zoals een massa-aanval op de websitesystemen of een probleem in de keten, liggen volgens Wubben minder voor de hand. ‘Het lijkt er niet op dat de systemen massaal van buitenaf zijn overbelast. Bij een probleem in de keten zie je meestal dat andere bedrijven ook last hebben, omdat een gezamenlijke toeleverancier eruit ligt.’
Dinsdagmiddag meldde Ahold Delhaize dat er voorlopig ‘geen aanwijzingen’ zijn dat klant- of medewerkersgegevens zijn gestolen.
Hoeveel kost dit cyberincident moederbedrijf Ahold Delhaize?
Maandag verloor het bedrijf 787 miljoen euro aan beurswaarde. Volgens Henk Hofstede, sectorspecialist retail bij ABN Amro, is het exacte verlies moeilijk in te schatten, maar zeker ‘omvangrijk’. Naast de misgelopen inkomsten van niet geleverde verse producten loopt de supermarkt volgens de expert vooral online veel inkomsten mis.
‘Het is niet bekend hoeveel winst Albert Heijn exact maakt en op welke wijze, maar we weten dat gemiddeld 7 à 8 procent van de voedselomzet van supermarkten online wordt verdiend. Op basis van een marktaandeel van 38,2 procent in 2025 en een totale supermarktomzet in dat jaar van 51 miljard euro, verliest de supermarktketen naar schatting circa 4 miljoen euro omzet per dag – en dat zijn alleen de gemiste online inkomsten.’
Ook kan het incident de loyaliteit van vaste klanten onder druk zetten. ‘Als mensen geen boodschappen kunnen krijgen bij hun eigen supermarkt, wijken zij uit naar een andere winkel. Daardoor loopt Albert Heijn het risico vaste klanten te verliezen die een andere supermarkt ontdekken of zich toch ongemakkelijk voelen bij het idee van een cyberaanval – al kan dat ook bij andere bedrijven gebeuren.’
Wat gaat er nu mis in de logistieke keten van Albert Heijn?
De logistieke keten van Albert Heijn is grotendeels geautomatiseerd, legt Jan Fransoo uit, hoogleraar logistiek aan de Universiteit van Tilburg. Onder normale omstandigheden registreert het systeem bij de verkoop van een product dat er weer minder voorraad is in de supermarkt, zegt Fransoo. Als de beschikbaarheid van producten als melk, bananen of pindakaas een ‘drempelwaarde’ bereikt, kan het systeem automatisch een bestelsignaal sturen naar het distributiecentrum.
‘Maar als het geautomatiseerde logistieke systeem eruit ligt, kan er niets geleverd worden’, aldus Fransoo. De meeste fysieke systemen, zoals het afleveren van producten door vrachtwagenchauffeurs, zijn immers afhankelijk van digitale signalen. ‘Hoe meer je automatiseert, hoe lastiger het wordt om handmatig dingen te corrigeren als het systeem uitvalt.’
Kunnen mensen dit geautomatiseerde werk overnemen?
Sommige handelingen zouden in theorie door mensen kunnen worden uitgevoerd, aldus Fransoo. Medewerkers zouden bestellingen bijvoorbeeld telefonisch in plaats van digitaal kunnen plaatsen. In de praktijk is dit echter ingewikkeld, vermoedt hij. Ten eerste zouden veel meer medewerkers nodig zijn, denkt Fransoo. Ten tweede kan telefonisch contact ook vaak via digitale kanalen lopen en dus alsnog verstoord worden. Meestal hebben medewerkers hoogstens ‘een corrigerende rol’, zegt de hoogleraar. Die zullen om de paar dagen bijvoorbeeld nagaan of de geregistreerde voorraad in het systeem overeenkomt met wat er daadwerkelijk in het schap ligt.
Moeten we ons nu zorgen maken over de voedselvoorziening?
Tot op zekere hoogte wel. Volgens Fransoo geeft deze verstoring aan dat andere landen de Nederlandse voedselketen ‘relatief eenvoudig’ kunnen verstoren, en wel zodanig dat er acute tekorten optreden. Hij verwijst naar een recent onderzoek van Clingendael, waaruit blijkt dat het Nederlandse voedselsysteem kwetsbaar is voor verstoringen.
‘Als statelijke actoren zich zouden richten op alle retailers tegelijkertijd, valt de hele voedselketen stil. Dat is wel degelijk een scenario waar sectoren rekening mee moeten houden.’ Dat zegt cybersecurityspecialist Wubben ook. ‘Het motief achter zo’n aanval kan geld zijn, door de data te gijzelen of verkopen. Maar soms willen hackers het systeem verstoren, bijvoorbeeld een statelijke actor die wil laten zien: kijk eens wat ik kan.’
Deze verstoring zou daarom een ‘wake-upcall’ moeten zijn voor bedrijven in de voedsel- en medische sector, zegt Fransoo. ‘De logistieke keten is geautomatiseerd om zo efficiënt mogelijk te zijn, maar blijkt niet robuust genoeg voor dit soort verstoringen.’
Fransoo pleit daarom voor een ‘analoge stresstest’, om de bestendigheid van essentiële ketens te verbeteren en ‘de maatschappelijke weerbaarheid’ te vergroten. Ook Wubben denkt dat analoge oplossingen kunnen helpen, zoals een back-upsysteem waarmee je deels kunt terugvallen op papier.
De training van medewerkers in supermarkten, distributiecentra en logistieke bedrijven zou wel ‘ver’ moeten gaan om bestand te zijn tegen digitale verstoringen. ‘Er zijn niet veel chauffeurs in Nederland die nog een analoge kaart weten te gebruiken.’
Zowel woordvoerders van Ahold Delhaize als die van de Albert Heijn verwijzen terug naar hun online statements en reageren dinsdag niet inhoudelijk op vragen van de Volkskrant.
Source: Volkskrant