Ahold Delhaize

In het kort. Sinds zondagmiddag 11 oktober 2026 heeft Ahold Delhaize, het moederbedrijf van Albert Heijn, Etos en Gall & Gall, een cybersecurity-incident en zijn er systemen uit voorzorg uitgezet.¹² Hoe het begon, wie erachter zit en of er gegevens zijn gestolen, is niet bekend: het bedrijf noemt geen oorzaak en geen dader.³⁴ De websites, apps en klantenservice liggen eruit en in meerdere distributiecentra ligt het werk stil, waardoor lege schappen dreigen, maar de winkels blijven open.¹³

Aanvalspad onbekend: ✅ 2 bevestigd · 🔎 1 gemeld · 🧠 1 afgeleid · ❓ 5 onbekend

Stand: maandagavond 12 oktober 2026, op basis van bronnen tot ongeveer 18.20 uur. Het incident loopt nog. Wat hier "niet bekend" heet, kan later wel bekend worden.

1. In één oogopslag

2. Wat er gebeurde

Het bedrijf. Ahold Delhaize is een van de grootste supermarktgroepen ter wereld, met bijna 400.000 medewerkers.⁵ Albert Heijn, Etos en Gall & Gall zijn Nederlandse merken. Delhaize zit in België. In de Verenigde Staten hoort onder meer Food Lion en Stop & Shop erbij.⁵

Zondag 11 oktober 2026. Albert Heijn zegt dat het sinds zondagmiddag te maken heeft met een cybersecurity-incident. Het nam direct maatregelen om de eigen IT te beschermen. Daarbij zette het een aantal systemen tijdelijk uit, uit voorzorg.¹ Een woordvoerder van Ahold Delhaize zei later tegenover RTL dat het bedrijf die dag een cybersecurityaanval had vastgesteld en de systemen had uitgezet zodat niemand binnen kon komen.⁴ Zondagavond lagen de websites en apps eruit.⁷ Een bezorger van online boodschappen vertelde de NOS dat alle bezorgers tegelijk uit hun app werden gezet en daarna niet meer konden inloggen.³

Maandag 12 oktober, ochtend. Om 7.30 uur meldde Albert Heijn dat websites, apps en klantenservice niet beschikbaar waren. Ook de logistieke systemen waren uit, dus er werd niets bezorgd.¹ In de eerste versie sprak het bedrijf van een IT-incident. Later op maandag werd dat "cybersecurity incident".¹¹¹² Moederbedrijf Ahold Delhaize sprak om 8.29 uur van een beveiligingsprobleem in het eigen netwerk. Teams beoordeelden het probleem en haalden systemen offline. De winkels bleven open. Het bedrijf zegt in dat bericht dat het voorkennis bevat. Dat is informatie die de koers van het aandeel kan raken.² Wie op maandagavond ah.nl opent, krijgt een melding dat de website niet werkt.¹³

In de winkels. De kassa's werken. De landelijke Bonusaanbiedingen van deze week gelden. Maar de persoonlijke kortingen en spaarprogramma's werken niet, en op de elektronische schapkaartjes staan nog de acties van vorige week. Klanten die kortingen mislopen, krijgen later een compensatie als ze hun kassabon bewaren.¹⁹

Maandagmiddag en -avond. De topvrouw van Albert Heijn zei tegen de NOS dat het werk in sommige distributiecentra volledig stilligt, omdat de systemen preventief zijn uitgezet. Albert Heijn heeft er zes in Nederland. Ze wilde niet zeggen hoeveel er stilliggen of welke nog werken.³ Op de vraag of kwaadwillenden zijn binnengedrongen, zei ze dat het onderzoek loopt en dat ze daar nu niets over kan zeggen.³ RTL Z schrijft, op basis van een mail van Albert Heijn aan leveranciers, dat de meeste eigen distributiecentra stilliggen. De kop van het artikel zegt zelfs "vrijwel alle". Alleen het centrum in Zaandam zou nog werken. Leveranciers moeten daar leveren op een vast tijdstip. Albert Heijn wilde daar tegenover RTL niet op ingaan.⁴ Albert Heijn verwacht dat vooral groente en fruit schaars worden. Diepvries, brood en houdbare producten blijven naar verwachting beter beschikbaar.¹ Rond 17.20 uur meldde Albert Heijn dat alle online bestellingen zijn geannuleerd. Klanten die al hadden betaald, wil het bedrijf compenseren zodra de systemen weer werken.¹

Medewerkers en partners. Volgens een bron van RTL Z worden medewerkers van winkels en distributiecentra afgebeld. Dat gaat niet vanzelf, omdat ook hun gegevens in het afgesloten systeem staan.⁴ Een lokale nieuwssite meldt dat medewerkers zijn gewaarschuwd: het hoofdkantoor of een andere partij belt hen niet om informatie of codes te vragen.¹⁴

Andere landen en merken. In België kunnen klanten van Delhaize deze week geen nieuwe bestellingen doen, en de klantenservice is niet bereikbaar. De app en de website werken daar wel.⁹ In de Verenigde Staten lagen de websites van Food Lion, The Giant Company, Giant Food, Hannaford en Stop & Shop eruit. Ahold Delhaize USA gaf geen tijdstip voor herstel.¹⁰ Volgens BleepingComputer, dat zich baseert op berichten van medewerkers, hadden medewerkers van Stop & Shop moeite om hun rooster en loonstrook te zien.⁵ Webwinkel bol had volgens een woordvoerder geen aanwijzing dat het erbij betrokken was.¹⁵

Reacties. De staatssecretaris van Landbouw zegt dat het incident laat zien hoe belangrijk het is dat de hele voedselketen weerbaarder wordt.⁴ De Autoriteit Persoonsgegevens zegt dat een bedrijf een datalek binnen 72 uur moet melden en dat het aan bedrijven zelf is om dat openbaar te maken. Ahold Delhaize kon nog niets zeggen over een mogelijk datalek.⁴¹⁶

Op dezelfde dag, in Frankrijk. In de nacht naar maandag 12 oktober werden ook honderden Franse supermarkten getroffen door een aanval op koelsystemen. De temperatuur in koelcellen liep op tot 50 graden. Volgens de NOS kwamen de aanvallers binnen via verouderde software van een Deense fabrikant van koelapparatuur.¹⁷ BleepingComputer schrijft dat er nog geen bewijs is dat de twee incidenten verband houden.¹⁸ Een deskundige zei tegen het AD dat er geen aanwijzingen zijn voor dezelfde dader. Ahold Delhaize kon ook niet bevestigen dat er een verband is.¹⁹

Eerdere incidenten. In november 2024 kreeg Ahold Delhaize USA te maken met een cyberaanval. De aanvallers kwamen op 6 november 2024 binnen. De groep INC Ransom claimde de aanval in april 2025. Het bedrijf bevestigde toen dat er bestanden zijn gestolen, maar zei niet of er ransomware was gebruikt. In juni 2025 meldde het bedrijf dat het om gegevens van 2.242.521 mensen ging.²⁰²¹ In oktober 2025 werd Bun, de grootste franchisenemer van Albert Heijn, gehackt. Daarbij zijn onder meer paspoorten en personeelsdossiers gestolen.²² In de gelezen bronnen staat geen bewijs dat het huidige incident daarmee te maken heeft.⁶⁵

Stand per maandagavond. Er is geen oorzaak, geen dader en geen claim bekend. Er is ook geen tijdstip voor herstel.¹⁶

3. Het aanvalspad

De bronnen noemen geen enkele aanvalstechniek. Deze keten laat daarom vooral zien wat we nog niet weten. Wat zeker is, zijn de ontdekking en de gevolgen. Bij elke stap staat hoe zeker we zijn. Waar de techniek niet bekend is, staat "Techniek onbekend".

Zekerheid: ✅ bevestigd door de organisatie, een overheid, de rechter of een onafhankelijk onderzoek · 🔎 gemeld door betrouwbare media of onderzoekers · 🧠 afgeleid, met de redenering in de noot · ❓ onbekend

4. Waarom het lukte

De oorzaak van de inbraak is niet bekend. Dit hoofdstuk legt daarom vooral uit waarom één incident zoveel gevolgen had. Waar we de oorzaak niet kennen, staat dat erbij.

1. Hoe het begon is niet bekend (❓). Bij ransomware en datadiefstal komen aanvallers meestal binnen via phishing, via niet bijgewerkte software, via gestolen inloggegevens of door in te breken in het netwerk.²⁵ In 2025 schreef het Britse NCSC over aanvallen op winkels dat de pers speculeerde over misleiding van de helpdesk, om wachtwoorden en tweede inlogstappen te laten resetten.²⁶ Dit zijn algemene voorbeelden. Geen bron zegt dat ze hier speelden. Een deskundige zegt dat aanvallers vaak in het weekend toeslaan, omdat er dan minder mensen zijn die meteen kunnen ingrijpen.⁴ Of dat hier zo was, is niet bekend.
2. Veel systemen hangen aan elkaar (🧠 afgeleid). De storing raakt websites, apps, klantenservice, logistiek, schapkaartjes en distributiecentra, bij meerdere merken en landen tegelijk. Dat past bij systemen of verbindingen die door veel onderdelen worden gedeeld.²³ Eén incident kan dan veel stilleggen.
3. Uit voorzorg uitzetten stopt ook je eigen werk. Albert Heijn zette systemen preventief uit. Daardoor ligt het werk in meerdere distributiecentra stil.³ De kassa's werken nog wel, maar het bestellen, plannen en afbellen van medewerkers gaat niet vanzelf.¹⁴ Zo'n besluit is begrijpelijk, maar het maakt de gevolgen groot.
4. Supermarkten hebben weinig voorraad. Winkels worden twee tot drie keer per dag beleverd. Verse producten zijn gemiddeld ongeveer drie dagen op voorraad, houdbare producten ongeveer een week, zegt de branchevereniging CBL.²⁷ Een onderzoeker van Clingendael zei in augustus dat dit systeem "extreem efficiënt" is, maar bij een crisis snel in de problemen komt.²⁷ Daarom dreigen er snel lege schappen.³
5. Eerdere incidenten en een aantrekkelijk doelwit. Ahold Delhaize USA kreeg in 2024 te maken met een cyberaanval waarbij bestanden werden gestolen, en de grootste franchisenemer van Albert Heijn werd in 2025 gehackt.²¹²² Deskundigen noemen Albert Heijn een goed doelwit vanwege de hoge omzet en de vele klantgegevens.⁴ Of de eerdere incidenten iets met dit incident te maken hebben, is niet bekend.

5. Wat het had kunnen stoppen

Dit zijn voorstellen op basis van algemene richtlijnen. Ze zijn niet getest bij Ahold Delhaize. Het is niet bekend welke maatregelen het bedrijf al had, en ook niet welke stap hier de zwakke plek was.²⁸

6. Lessen

Voor bestuur en management - ☐ Welke onderdelen van onze bedrijfsvoering stoppen als we onze IT uit voorzorg moeten uitzetten, en hoe lang kunnen we dan nog leveren?³⁴ - ☐ Hebben we een draaiboek voor preventief uitzetten, en oefenen we dat? Wie mag dat besluit nemen?³⁰ - ☐ Hoeveel voorraad hebben we, en welke alternatieve routes zijn er als een distributiecentrum uitvalt?²⁷ - ☐ Wie meldt een datalek binnen 72 uur, en wie praat met pers, klanten, leveranciers en franchisenemers?¹⁶ - ☐ Hoe communiceren we als we nog niets weten? Albert Heijn sprak 's ochtends van een IT-incident en later van een cybersecurity-incident.¹¹¹²

Voor IT en security - ☐ Gebruik phishing-bestendig inloggen (passkeys) voor medewerkers, beheerders en leveranciers.²⁹³⁰ - ☐ Verdeel het netwerk: webwinkel, kantoor-IT, logistiek en winkelsystemen horen niet op één plat netwerk.³⁰ - ☐ Houd offline back-ups en test of de logistieke systemen echt terug te zetten zijn.³⁰³¹ - ☐ Controleer hoe de helpdesk wachtwoorden en tweede inlogstappen reset.²⁶ - ☐ Maak een alarm voor ongewone activiteit bij accounts met veel rechten.²⁶ - ☐ Bewaar logboeken op een aparte logserver, zodat ze niet worden gewist.²⁵ - ☐ Zorg dat u uw eigen mensen kunt bereiken als het systeem uit is, bijvoorbeeld met een lijst op papier of een ander kanaal.⁴

Voor iedere medewerker - ☐ Belt iemand die zich voordoet als het hoofdkantoor of een andere partij en vraagt om informatie of een code? Geef niets door, hang op en bel terug op een nummer dat u kent.¹⁴²⁶ - ☐ Twijfelt u? Meld het meteen. Snelheid telt meer dan schaamte.²⁸ - ☐ Bent u klant of leverancier? Wees alert op berichten die het incident noemen en om geld, inloggegevens of een nieuw rekeningnummer vragen. Controleer ze via een nummer dat u kent.³²

7. Voor securityprofessionals

Technieken (MITRE ATT&CK)

Gebruikte versie: ATT&CK Enterprise v19.2 (augustus 2026). In v19 is Defense Evasion opgesplitst in Stealth (TA0005) en Defense Impairment (TA0112). T1562 is vervangen door T1685. Alle hieronder genoemde ID's staan in dat gegevensbestand en zijn niet ingetrokken.³³

Er is op maandagavond 12 oktober geen openbaar technisch rapport. Geen enkele gelezen bron noemt een aanvalstechniek, malware of kwetsbaarheid. Daarom is aan dit incident geen techniek toegekend en staat het veld attck leeg.

Technieken om als eerste te onderzoeken (hypothesen, geen bevindingen). Deze lijst is een hulpmiddel voor onderzoekers. Er is geen bron die zegt dat een van deze technieken hier is gebruikt, dus ze zijn niet toegekend.³⁴

Software en malware. In de gelezen bronnen staat geen malware, ransomware of hulpprogramma. Ook is geen ransomwaregroep genoemd.⁶⁵

Kwetsbaarheden

Geen CVE bekend. Geen bron noemt een kwetsbaarheid bij Ahold Delhaize.⁶⁵ Voor het aparte Franse incident met koelsystemen noemt BleepingComputer een eerdere waarschuwing van CISA over CVE-2025-41450 in Danfoss-apparatuur. Er is geen bewijs dat dit iets met Ahold Delhaize te maken heeft.¹⁸

Sporen van de aanvallers

Er zijn geen IP-adressen, domeinen, bestandshashes of vermeldingen op een leksite openbaar gedeeld in de gelezen bronnen.⁶⁵ Wat wel openbaar is, is niet technisch. Medewerkers kregen de waarschuwing dat het hoofdkantoor of een andere partij hen niet belt om informatie of codes te vragen.¹⁴

Detectie en respons

Wat Ahold Delhaize en Albert Heijn zelf deden. Het incident werd op zondagmiddag 11 oktober vastgesteld. Het bedrijf nam direct maatregelen en zette systemen preventief uit, waaronder logistieke systemen en klantsystemen.¹⁴ Het onderzoek loopt.¹ In de gelezen bronnen staat niet of externe experts, de politie of het NCSC zijn ingeschakeld. Bij het incident in 2024 zei het bedrijf dat wel te hebben gedaan.³⁵

Voorstellen (geen bevindingen). - Isoleer getroffen systemen. Zijn meerdere netwerkdelen getroffen, dan kun je het netwerk op switchniveau offline halen. Prioriteer daarbij de kritieke systemen.³⁰ - Ga uit van het slechtste scenario voor gegevens. Bij ransomware kun je er niet van uitgaan dat de inbreuk beperkt is tot de zichtbaar versleutelde bestanden. Geen bewijs van kopiëren is niet hetzelfde als bewijs van niet kopiëren.²⁵ - Bewaar logboeken apart. Ransomware kan logs wissen.²⁵ - Controleer de logboeken van de identiteitsdienst op risicovolle logins, nieuwe inlogmiddelen en ongewone herstelacties van de helpdesk.²⁶ - Herstel in een vaste volgorde, op basis van een lijst van kritieke systemen, op een schone omgeving.³⁰ - Beoordeel direct de meldplicht van 72 uur bij de Autoriteit Persoonsgegevens en de informatieplicht naar betrokkenen.¹⁶ - Houd leveranciers, medewerkers en klanten op de hoogte, en waarschuw voor misbruik van het incident.³²¹⁴

8. Wat we niet weten

• Hoe kwamen de aanvallers binnen, en sinds wanneer? Ahold Delhaize noemt het niet.²⁴ Een evaluatie van het bedrijf of een uitspraak van een toezichthouder zou dit kunnen oplossen.
• Is het een aanval, en wat voor een? Een woordvoerder sprak tegenover RTL van een cybersecurityaanval. De topvrouw van Albert Heijn kon tegenover de NOS niet zeggen of kwaadwillenden zijn binnengedrongen. NU.nl schreef dat Ahold Delhaize en Albert Heijn het nog niet hebben bevestigd. Het AD meldt dat een woordvoerder het niet wilde bevestigen.⁴³⁷¹⁹ Een latere verklaring van het bedrijf kan dit beslissen.
• Zijn gegevens gestolen of bestanden versleuteld? Ahold Delhaize kon over een datalek nog niets zeggen.⁴ Het AD wijst erop dat het bedrijf in zijn verklaring meteen over de bescherming van gegevens spreekt.⁸ Er is geen losgeldeis of lekdreiging gemeld.⁶ Een melding bij de Autoriteit Persoonsgegevens of een bericht aan betrokkenen zou het aantonen.¹⁶
• Wie zit erachter? Er is geen claim en geen toeschrijving in de gelezen bronnen.⁶ Een leksite van een dadergroep zou een claim kunnen tonen. Die is hier niet bekeken.
• Welke systemen zijn uit, en waarom raakt dit meerdere landen? Het bedrijf noemt de systemen niet.² De bronnen verschillen: RTL schrijft dat het systeem in België en bij alle Amerikaanse ketens uit ligt, terwijl de NOS meldt dat in België app en website werken en alleen bestellen en klantenservice uit zijn.⁴⁹ Ahold Delhaize USA had geen verdere verklaring.¹⁰
• Hoeveel distributiecentra liggen stil? De topvrouw noemt geen aantal.³ RTL Z schrijft op basis van een mail aan leveranciers dat de meeste eigen centra stilliggen, behalve Zaandam. Die mail hebben wij niet gezien.⁴
• Hoe lang duurt het herstel, en wat kost het? Geen tijdstip bekend. Over kosten, boetes of verzekering is niets gemeld.¹⁴
• Is er een verband met de aanval op Franse koelsystemen van dezelfde dag? Er is geen bewijs voor.¹⁸¹⁹ Ahold Delhaize kon het niet uitsluiten of bevestigen.³ BNR schrijft dat het erop lijkt dat er een groter cyberincident speelt.³⁶ Dat is een inschatting, geen vaststelling.
• Is er een verband met eerdere incidenten, zoals de aanval op Ahold Delhaize USA in 2024 (geclaimd door INC Ransom) of de hack bij een franchisenemer in 2025? In de gelezen bronnen staat geen bewijs.⁶⁵
• Wat betekent de waarschuwing aan medewerkers? Het kan een voorzorg zijn tegen oplichters die het incident misbruiken, of een aanwijzing voor de aanvalsmethode. Die bron is een lokale nieuwssite, en de waarschuwing zelf is niet gelezen.¹⁴
• Wie is ingelicht, en onder welke regels? In de gelezen bronnen staat niet of het NCSC, de politie of de Autoriteit Persoonsgegevens zijn ingelicht. De Autoriteit Persoonsgegevens zegt wel dat een datalek binnen 72 uur moet worden gemeld.⁴¹⁶

9. Begrippen

Aanvalspad: de stappen die aanvallers zetten, van binnenkomen tot de schade.

Back-up: een kopie van gegevens, voor als het origineel kwijt of kapot is. Een offline back-up staat los van het netwerk en kan niet worden versleuteld door een aanval.

Cybersecurity-incident: een gebeurtenis waarbij de digitale beveiliging van een organisatie in gevaar is. Het kan een aanval zijn, maar de naam zegt dat niet.

Datalek: gegevens komen bij mensen die ze niet mogen hebben.

Distributiecentrum: een groot magazijn waar producten binnenkomen en naar de winkels gaan.

Franchisenemer: een ondernemer die onder de naam van een groot merk winkels runt, zoals sommige Albert Heijn-filialen.

Helpdesk: de afdeling waar medewerkers hulp krijgen, bijvoorbeeld als ze hun wachtwoord kwijt zijn. Oplichters proberen soms de helpdesk te misleiden.

Just-in-time: bevoorraden met weinig voorraad. Producten komen vlak voor ze nodig zijn bij de winkel.

MITRE ATT&CK: een overzicht van technieken die aanvallers gebruiken. Het helpt om aanvallen op dezelfde manier te beschrijven.

Passkey: een inlogmiddel zonder wachtwoord dat aan je eigen apparaat is gekoppeld. Het is lastig te misleiden. Het Nederlandse NCSC raadt het aan.²⁹

Phishing: nepberichten om gegevens of geld los te krijgen.

Preventief uitzetten: systemen uit voorzorg uitschakelen om verdere schade te voorkomen.

Ransomware: schadelijke software die bestanden versleutelt. Daarna eisen de aanvallers geld om ze weer vrij te geven. Soms dreigen ze ook de gestolen gegevens te publiceren.³⁷

Segmentatie: het netwerk in aparte delen verdelen, zodat een inbraak niet overal komt.

Toezichthouder: een overheidsdienst die let op de regels voor persoonsgegevens. In Nederland is dat de Autoriteit Persoonsgegevens.¹⁶

Versies

• v1 (2026-10-12): eerste versie, op basis van bronnen tot maandagavond 12 oktober 2026.

Bijlage: bronnen en noten