Sinds zondagmiddag 11 oktober kampt Albert Heijn met een cybersecurity-incident. De website en de app lagen een week lang eruit, online bestellen kan op het moment van schrijven nog niet en de klantenservice is nog niet bereikbaar.

Dit is geen artikel om u te laten schrikken. Het is een artikel om iets mee te doen. Want hoe groot of klein uw bedrijf ook is, de vragen die dit incident oproept zijn dezelfde. Stand van zaken: maandag 19 oktober 2026. Het onderzoek loopt nog.

Wat we weten, en wat niet

Dit is wat Albert Heijn zelf heeft gemeld in zijn mediastatement:

Wat we niet weten is de oorzaak. Albert Heijn zegt over het onderzoek geen uitspraken te kunnen doen en meldt dat er op dit moment geen aanwijzingen zijn dat persoonsgegevens betrokken zijn. De NOS meldt op basis van anonieme bronnen dat het om een hackaanval of een serieuze poging daartoe gaat, en dat beveiligers verdacht verkeer zagen en daarom systemen uitschakelden. Bevestigd is dat niet.

Ik ga dus niet gokken hoe de aanvallers binnenkwamen. Dat weet niemand buiten het onderzoek, en gokken helpt niemand. Hetzelfde geldt voor de technologie: of de website van Albert Heijn op WordPress draait weten we niet, en het doet er ook niet toe. Een week offline door een aanval kan elke website treffen, op welk platform dan ook. Wat ik wel kan doen is kijken naar wat zichtbaar gebeurde, en wat dat betekent voor uw website.

Les 1: offline halen is een vaardigheid

Albert Heijn schakelde een aantal systemen preventief uit om zijn IT-omgeving te beschermen. Wat er achter de schermen precies speelde weten we niet, maar het principe is bekend: wie niet snel kan isoleren, verliest tijd die er niet is.

Voor uw website komt dat neer op een eenvoudige vraag. Als u vanavond om tien uur vermoedt dat er iets mis is, wie kan de site dan offline halen, en weet die persoon hoe? Inloggegevens van de hosting, toegang tot het beheerpaneel, een onderhoudsmodus die klaarstaat. Het zijn kleine dingen die u op dat moment niet wilt zoeken.

Les 2: weet wat blijft werken

Bij Albert Heijn bleven de winkels open en werkten de kassa’s. De website, de app en het spaarsysteem vielen weg. Dat onderscheid was geen toeval, maar het bepaalde wat klanten van de ramp merkten.

Hoe is dat bij u? Als uw website uitvalt, kunnen klanten u dan nog bereiken, bestellen of betalen? Voor veel bedrijven hangt dat aan precies één website en één betaalplugin. Beslis vooraf wat het minimum is dat moet blijven werken, en zorg dat daar een alternatief voor bestaat, al is het een telefoonnummer en een e-mailadres.

Les 3: herstel is een volgorde, geen knop

Het herstel bij Albert Heijn verliep in stappen. Eerst de distributiecentra, dan de leveringen aan winkels, dan de website en de app, en op het moment van schrijven nog niet het online bestellen. Acht dagen na het begin kan een klant daar nog niet bestellen.

Een organisatie van die omvang is niet te vergelijken met een WordPress-website, en ik ga u niet wijsmaken van wel. Bij een klant mat ik zelf dertig minuten voor een volledige restore. Maar dat getal is alleen iets waard omdat het gemeten is. Zonder meting is uw hersteltijd een aanname, en een back-up die nooit is teruggezet is geen geteste back-up.

Bepaal ook welke onderdelen als eerste terug moeten. Voor een webshop is dat het ontvangen van bestellingen, niet de blog.

Les 4: communiceer via kanalen die niet kapot zijn

De klantenservice van Albert Heijn was onbereikbaar. Daarom liep de communicatie via een centraal mediastatement met tijdstempel per update, via social media en via informatie in de winkels. Klanten wisten steeds waar ze moesten kijken.

Uw website kan niet melden dat uw website eruit ligt. Heeft u een kanaal dat los staat van uw eigen server, zoals een social-mediaprofiel of een e-mailadres dat niet op dezelfde hosting draait, waar u klanten kunt vertellen wat er aan de hand is?

Les 5: phishing volgt het nieuws

Albert Heijn waarschuwde klanten al op dag drie voor oplichters die zich als medewerkers voordoen, terwijl het bedrijf zegt dat er geen aanwijzingen zijn voor gestolen persoonsgegevens. Kwaadwillenden misbruiken de onrust, ook als er niets is buitgemaakt.

Als u klanten heeft, vertel hen dan nu al hoe u hen wel en niet benadert. Dat u nooit per e-mail om een wachtwoord vraagt, bijvoorbeeld. Dat doet u beter vóór een incident dan tijdens.

Les 6: klanten wachten niet

Jumbo, Lidl, Picnic, ALDI en PLUS meldden aan het ANP dat ze drukkere winkels en meer online bestellingen zagen. Dat is geen verrassing. Een klant die niet kan bestellen, gaat naar de buren.

Elke dag dat uw webshop of aanvraagformulier niet werkt, is een dag waarop iemand anders de klant krijgt. Het is dus niet alleen een technisch probleem, maar ook een omzetprobleem.

Les 7: één verouderd onderdeel kan honderden winkels raken

In dezelfde dagen werd ook een groep Franse supermarkten getroffen, in de nacht naar maandag 12 oktober. Dat lijkt los te staan van Albert Heijn: een woordvoerder van Ahold Delhaize zegt tegen Reuters geen reden te zien om een verband te leggen. Ik leg dat verband dus ook niet.

Wat er in Frankrijk gebeurde is wel leerzaam. Volgens de NOS kwamen hackers binnen via verouderde software in koelapparatuur van één Deense fabrikant. Honderden winkels van onder meer Intermarché, E.Leclerc, Netto en Coopérative U werden geraakt. Sommige koelsystemen gingen warmte afgeven in plaats van koelen en stonden ingesteld op 50 graden boven nul. Veel winkels moesten hun voorraad weggooien. Eén winkeleigenaar in de Elzas noemde een schade van 220.000 euro voor zijn winkel.

De aanval ging dus niet via de winkels zelf, maar via verouderde software in een onderdeel van een leverancier. Voor uw website is dat de plugin of het thema van een derde dat al maanden geen update kreeg. Weet u welke onderdelen dat zijn?

Zes vragen voor deze week

  1. Wie beslist dat de site offline gaat, en kan die persoon dat vanavond nog?
  2. Wat is het eerste dat weer moet werken: bestellen, het contactformulier of de rest?
  3. Hoe lang duurt een volledig herstel, gemeten en niet geschat? Wanneer is het voor het laatst getest?
  4. Waar vertelt u klanten wat er aan de hand is als uw website zelf weg is?
  5. Weten uw klanten hoe u hen wel en niet benadert?
  6. Welke plugins en thema’s van derden draaien er op uw site, en welke zijn al maanden niet bijgewerkt?

Kunt u er vier of meer zonder nadenken beantwoorden, dan zit u goed. Lukt dat niet, dan weet u nu waar u deze week mee begint. Neem gerust contact op als u wilt weten waar u staat.

Bronnen