Albert Heijn-storing: systemen uit, oorzaak onbekend

Zondagavond wil je je bezorging voor maandag nog aanpassen. De app opent, maar er laadt niets. Bellen lukt niet, chatten ook niet. Maandagochtend blijkt waarom: Albert Heijn heeft zelf systemen uitgezet. Je boodschappen komen niet.

Eerst een IT-incident, nu een cybersecurity incident

Albert Heijn spreekt in zijn mediastatement van een “IT-incident”. Sinds zondagmiddag, staat er, en “onderdeel daarvan is het preventief tijdelijk uitschakelen van een aantal systemen”. Website, apps en klantenservice zijn niet beschikbaar. Ook de logistieke systemen staan uit, dus online bestelde boodschappen worden tot nader bericht niet bezorgd.

Moederbedrijf Ahold Delhaize zette er maandag om 08.29 uur een Engelstalig bericht naast. Daarin heet het een “cybersecurity incident” en “a security issue within its network”. Het is ook een beursbericht. Om 11.30 uur trok AH het gelijk: in de bijgewerkte verklaring staat nu ook “cybersecurity incident”. Verder veranderde er niets aan de tekst. Wat er precies is gebeurd en of er gegevens zijn ingezien, zegt geen van beide.

AH belooft compensatie, maar niet voor alles

De winkels zijn open en de kassa’s werken, net als de landelijke Bonusaanbiedingen uit de folder van deze week. De elektronische schapkaartjes tonen wel nog de actieprijzen van vorige week, dus het kaartje kan lager zijn dan wat de kassa rekent. Maar de spaarsystemen in de Mijn AH App en op de persoonlijke Bonuskaart liggen stil: Mijn Bonus Box, koopzegels en Air Miles. AH schrijft: “Klanten die hierdoor persoonlijke kortingen missen, worden gecompenseerd zodra mogelijk.” Daarvoor moet je je kassabon bewaren.

Hoe die compensatie komt, op je Bonuskaart, via de app of anders, zegt AH niet. Een datum is er ook niet. Dat gat is precies waar een oplichter in springt. Hij hoeft geen winactie te verzinnen. Hij hoeft alleen de vorm van een belofte in te vullen die echt bestaat.

Bij de Odido-datalek zag je hoe dat gaat. Daar waarschuwde de Fraudehelpdesk voor neptelefoontjes over compensatie, gevolgd door een sms-code waarmee oplichters je nummer overnamen.

Ook AH-medewerkers moeten opletten

Dit is niet de eerste keer dat Ahold Delhaize met een beveiligingsprobleem kampt. In november 2024 ging het mis bij de Amerikaanse tak. Vijf maanden later gaf Ahold toe dat in de buit mogelijk ook gegevens van Nederlandse medewerkers zaten: mensen die in april 2021 bij onder meer Albert Heijn, Etos en Gall & Gall op de loonlijst stonden, meldde RetailDetail. Of het huidige incident daar iets mee te maken heeft, is niet bekend. Maar werk je bij AH, dan staan je naam en misschien je rekeningnummer al ergens. Een mail “van HR over de storing” verdient dus dezelfde argwaan.

Een storing zegt nog niets over een lek

Op sociale media is het oordeel al klaar: gehackt. Dat weet niemand buiten Ahold. Systemen zelf uitzetten is ook wat een bedrijf doet als het niet zeker weet hoe ver een probleem reikt. Daarom staat dit dossier als “incident” en niet als datalek. Wij vinden wel dat AH klanten duidelijker moet vertellen of ze iets moeten doen. “De bescherming van de gegevens van onze klanten, medewerkers en partners staat daarbij voorop” beantwoordt de vraag niet of je je wachtwoord moet wijzigen.

Tot AH die vraag beantwoordt, is er één ding dat klopt. Voor deze compensatie vraagt AH je niets via een link; er staat alleen: bewaar je kassabon. Kreeg je een bericht over compensatie, plak het in de scam checker. Al geklikt of iets ingevuld? Lees dan wat je doet als je op een phishing link geklikt hebt. Twijfel je over een webadres, gebruik de link checker. Een verdacht telefoontje “van de AH-klantenservice” is helpdeskfraude. Alle lopende dossiers staan bij de datalekken in 2026.