De Nederlandse politie bestudeert de aangifte die winkelconcern Ahold Delhaize heeft gedaan na een cyberveiligheidsincident. Dat bevestigt een politiewoordvoerder. Het moederbedrijf van onder meer Albert Heijn, Etos en Gall & Gall ontdekte eerder verdachte activiteiten in zijn IT systemen en deed maandag formeel aangifte.
Of de politie ook daadwerkelijk een strafrechtelijk onderzoek begint, is nog niet duidelijk. De politie houdt wel nauw contact met het concern over de zaak. Daarmee krijgt het incident een formeel vervolg bij de opsporingsdiensten, al is nog niet beslist welke stappen er volgen.
Systemen uit voorzorg offline gehaald
Ahold Delhaize maakte op 12 oktober bekend dat er een beveiligingsprobleem was vastgesteld binnen zijn netwerk. Het bedrijf liet weten dat gespecialiseerde teams het incident onderzochten en maatregelen namen om de gevolgen te beperken. Uit voorzorg werden verschillende systemen offline gehaald om de IT infrastructuur te beschermen.
De fysieke winkels bleven die dag gewoon open en ontvingen klanten. Toch waren de gevolgen van de ingreep duidelijk merkbaar. Veel webshops van de betrokken ketens waren niet bereikbaar en ook de bevoorrading van winkels ondervond problemen. Volgens het concern stond de bescherming van klanten, medewerkers en zakenpartners centraal bij de genomen maatregelen.
Ruim een week tussen ontdekking en aangifte
Opvallend is dat er ruim een week verstreek tussen de ontdekking van de verdachte activiteiten en de formele aangifte bij de politie. Ahold Delhaize had het incident eerder al gemeld bij het Nationaal Cyber Security Centrum, het NCSC. Die melding gebeurde binnen 24 uur na de ontdekking.
Een melding bij het NCSC is echter niet hetzelfde als aangifte doen bij de politie. Het NCSC houdt zich bezig met de aanpak van digitale dreigingen en de ondersteuning bij cyberincidenten. Een formele aangifte kan daarentegen aanleiding geven tot strafrechtelijke opsporing, al is een onderzoek niet automatisch het gevolg van zo’n aangifte.
Politie en Openbaar Ministerie drongen aan op aangifte
Op 16 oktober meldde Cybernews dat de politie en het Openbaar Ministerie Ahold Delhaize hadden uitgenodigd om formeel aangifte te doen. Op dat moment was er nog geen aangifte ingediend. De stap van maandag vormt daardoor een nieuw moment in de afhandeling van het incident.
Volgens diezelfde berichtgeving was er op 16 oktober nog geen strafrechtelijk onderzoek gestart. Dat betekent niet dat een onderzoek pas na een aangifte mogelijk is. De autoriteiten kunnen onder bepaalde omstandigheden ook zonder formele aangifte onderzoek beginnen. Of dat in deze zaak alsnog gebeurt, moet nog blijken.
Intern onderzoek loopt nog
Ook Ahold Delhaize voert zelf onderzoek uit naar de verdachte activiteiten. Het concern heeft tot nu toe geen definitieve conclusies bekendgemaakt over de precieze aard van het incident, de oorzaak of de volledige omvang van de gevolgen. Het is daarom nog niet duidelijk wat er precies is gebeurd en wie daar eventueel verantwoordelijk voor is.
Met de aangifte kan het bedrijf zijn bevindingen formeel met de politie delen. Hoe de informatie wordt beoordeeld en of die voldoende aanleiding geeft voor verdere opsporing, is niet bekendgemaakt. De politie beperkt zich voorlopig tot de mededeling dat ze de aangifte bestudeert en contact onderhoudt met het concern.
Webshops onbereikbaar en problemen met bevoorrading
Voor klanten waren vooral de problemen met de webshops zichtbaar. Doordat verschillende systemen uit voorzorg offline werden gehaald, konden consumenten bij meerdere online winkels van het concern tijdelijk niet terecht. De fysieke winkels bleven wel open, waardoor klanten hun aankopen daar konden blijven doen.
Daarnaast kwam de bevoorrading van winkels in de problemen. Volgens Cybernews begon Albert Heijn de logistieke systemen geleidelijk opnieuw op te starten. De beschikbaarheid van producten kon daardoor per winkel verschillen. Verwacht werd dat de situatie in de loop van de dag stapsgewijs zou verbeteren.
Nog geen aanwijzingen voor gestolen gegevens
Ahold Delhaize meldde vooralsnog geen aanwijzingen te hebben dat gegevens van klanten, medewerkers of zakenpartners waren buitgemaakt. Reuters berichtte op 13 oktober eveneens dat het concern geen aanwijzingen had voor diefstal van klantgegevens.
Die mededeling moet wel worden gezien als een voorlopige stand van zaken. Het onderzoek loopt nog en het ontbreken van aanwijzingen betekent niet automatisch dat met zekerheid kan worden uitgesloten dat gegevens zijn gestolen. Pas wanneer het onderzoek verder is gevorderd, kan mogelijk meer duidelijkheid worden gegeven over de gevolgen voor de betrokkenen.
Afzonderlijk incident in Frankrijk
Reuters meldde ook dat rond dezelfde periode een cyberincident in Frankrijk plaatsvond. Daarbij zouden koelkasten en vriezers in honderden winkels gedurende de nacht zijn opgewarmd tot temperaturen van ongeveer 50 graden Celsius. Dat leidde volgens de berichtgeving tot branden en bedorven voedsel. Het gaat om een afzonderlijk incident en er is geen aangetoond verband met de problemen bij Ahold Delhaize.
Ook het NCSC ziet volgens de beschikbare informatie geen reden om aan te nemen dat het Nederlandse incident verband houdt met soortgelijke gebeurtenissen in andere landen. Voorlopig gaat het dus om incidenten die ongeveer gelijktijdig plaatsvonden, zonder vastgestelde onderlinge link. De komende tijd moet duidelijk worden wat de aangifte van Ahold Delhaize oplevert en of de politie besluit een strafrechtelijk onderzoek te openen.
Bronnen en credits
Bron: BNR
