Albert Heijn en Odido: wat cyberincidenten ons leren over detectie, respons en mensen

Geen enkele organisatie is 100% veilig

Zowel Odido als Albert Heijn zijn grote organisaties met eigen securityteams, ruime budgetten en volwassen IT-processen. Toch werden ook zij geraakt. Dat is geen teken van nalatigheid, maar van de werkelijkheid waarin elke organisatie opereert: aanvallers hoeven maar één keer succes te hebben, verdedigers moeten elke dag alles goed doen.

Juist daarom is het zinvol om naar deze incidenten te kijken. Niet om te wijzen, maar om te leren. Want wat bij deze organisaties gebeurde, kan morgen bij uw organisatie gebeuren. Het verschil tussen een vervelend incident en een echte crisis zit zelden in de vraag of een aanvaller binnenkomt. Het zit in hoe snel u het merkt, hoe goed u reageert en hoe snel u weer draait.

Wat er gebeurde

Een kort overzicht op basis van wat publiek bekend is. Bij beide incidenten loopt het onderzoek nog en zijn niet alle details openbaar.

Les 1: techniek dichtzetten is logisch, maar niet genoeg

Wie aan cybersecurity denkt, denkt vaak eerst aan techniek: firewalls, patches, MFA, encryptie. Dat is terecht en noodzakelijk. Maar het Odido-incident laat zien dat aanvallers de techniek niet altijd hoeven te kraken. Er was MFA, en toch kwamen de aanvallers binnen. Niet door een kwetsbaarheid in de software, maar door medewerkers te overtuigen dat zij met een collega spraken.

Een beheersingsstelsel rust daarom op drie pijlers. Valt één pijler weg, dan staat het geheel niet meer stevig.

Het lastige aan de derde pijler is dat u hem niet kunt kopen of installeren. De mensen die het systeem beheersen, bepalen uiteindelijk of de techniek en de processen in de praktijk werken.

Les 2: detectie zonder tijdige respons levert niets op

Volgens bronnen van de NOS zag de beveiliging van Albert Heijn verdacht verkeer binnenkomen en werden systemen uitgeschakeld om te voorkomen dat aanvallers dieper konden doordringen. Die keuze had grote gevolgen: lege schappen, geannuleerde bezorgingen en een onbereikbare klantenservice. Maar het is ook een voorbeeld van detectie die tot een besluit leidt. Iemand zag iets, iemand nam verantwoordelijkheid en er werd gehandeld.

Bij Odido wijzen experts juist op het omgekeerde. Grote hoeveelheden klantgegevens konden worden weggehaald, volgens berichtgeving via legitieme koppelingen van het systeem zelf, zonder dat dit direct opviel. Ook kwamen de aanvallers binnen via een methode waarvoor de leverancier van het systeem in 2025 meerdere keren had gewaarschuwd.

De les is dat detectie pas waarde heeft als drie dingen kloppen:

• U kijkt naar het juiste. Ongebruikelijk gedrag van een geldig account, zoals een grote export op een vreemd tijdstip, is vaak belangrijker dan een aanval van buitenaf die de firewall tegenhoudt.
• Iemand heeft het mandaat om te handelen. Wie mag besluiten om midden in het weekend kritieke systemen uit te zetten, met alle omzetverlies van dien? Als dat pas tijdens het incident wordt uitgezocht, gaan kostbare uren verloren.
• De respons is geoefend. Een draaiboek dat in een la ligt, helpt niet. Een draaiboek dat twee keer per jaar is geoefend met IT, directie en communicatie, wel.

Les 3: cultuur en security awareness bepalen hoe sterk de keten is

Hoe goed een organisatie detecteert en reageert, hangt voor een groot deel af van de volwassenheid van de cultuur. Bij Odido begon het met een telefoontje. Een medewerker die onder tijdsdruk een collega wil helpen, is geen zwakke schakel. Het is iemand die doet wat in de meeste organisaties wordt gewaardeerd: behulpzaam zijn.

Security awareness is daarom meer dan een jaarlijkse e-learning met een vinkje. Het gaat om een cultuur waarin:

• medewerkers weten dat aanvallers zich voordoen als IT, leverancier of leidinggevende, en dat het normaal is om terug te bellen via een bekend nummer;
• een onverwachte MFA-melding wordt gezien als een alarmsignaal, niet als iets dat u even wegklikt;
• melden wordt beloond, ook als het achteraf loos alarm blijkt of als u zelf een fout heeft gemaakt;
• medewerkers met brede toegang tot gevoelige gegevens extra en specifiek worden getraind, omdat juist zij het doelwit zijn.

Een organisatie waarin mensen bang zijn om fouten te melden, ontdekt incidenten later. En een incident dat later wordt ontdekt, is bijna altijd groter.

Les 4: een cyberincident raakt het dagelijks leven

Het incident bij Albert Heijn maakt iets zichtbaar dat lang abstract bleef: een cyberincident is niet alleen een IT-probleem. Toen de systemen die de logistiek aansturen werden uitgeschakeld, lagen distributiecentra stil en raakten vooral verse producten uitverkocht. Een digitaal incident werd binnen een dag een fysiek probleem voor miljoenen mensen die gewoon boodschappen wilden doen.

Hier zit een belangrijke les. In moderne distributiecentra, fabrieken en zorginstellingen zijn IT en operationele technologie (OT), zoals besturingssystemen voor magazijnen, transportbanden en koeling, sterk met elkaar verweven. Welke systemen bij Albert Heijn precies zijn geraakt, is niet bekendgemaakt. Maar het effect laat zien wat er gebeurt als de IT die de fysieke processen aanstuurt, niet meer beschikbaar is: de primaire levensbehoefte komt onder druk te staan.

Voor organisaties met fysieke processen betekent dit:

• breng in kaart welke fysieke processen stilvallen als een IT-systeem uitvalt of uit voorzorg moet worden uitgeschakeld;
• scheid OT-netwerken van kantoor-IT, zodat u bij een incident het ene kunt isoleren zonder het andere plat te leggen;
• zorg voor een terugvaloptie waarmee kritieke processen beperkt kunnen doordraaien, ook als die handmatig is;
• test of het herstarten van systemen in de juiste volgorde en binnen de afgesproken tijd lukt. Bij Albert Heijn duurde het enkele dagen voordat alle distributiecentra weer volledig draaiden.

Les 5: oordeel niet te snel, leer en ondersteun

Bij elk groot incident is het oordeel snel geveld. Op sociale media en in reacties wordt binnen een paar uur geroepen dat de organisatie het niet op orde had, dat het voorkomen had kunnen worden of wie er schuldig is. Vaak gebeurt dat zonder dat iemand weet wat er werkelijk aan de hand is. Het onderzoek loopt dan nog, en zelfs de organisatie zelf heeft nog geen volledig beeld.

Daar heeft niemand iets aan. Achter zo'n incident zitten securityteams die dagen en nachten doorwerken, medewerkers in distributiecentra die naar huis worden gestuurd en klantenservicemedewerkers die het als eerste te horen krijgen. Wat wél helpt:

• kijk naar uw eigen organisatie en stel de vraag: zouden wij dit hebben gezien, en wat hadden wij dan gedaan?
• deel kennis. Volgens de NOS deelde Albert Heijn informatie over de gebruikte aanvalsinfrastructuur met andere bedrijven. Dat maakt de hele sector sterker;
• waardeer open communicatie. Regelmatige en eerlijke updates, ook als nog niet alles bekend is, zijn in een crisis veel waard;
• wees zelf alert. Criminelen gebruiken een groot incident vaak als aanleiding voor phishing, bijvoorbeeld met zogenaamde compensatieberichten.

Geen enkele organisatie is 100% veilig. Dat geldt voor Albert Heijn en Odido, en het geldt voor uw organisatie. Wie dat accepteert, stopt met wijzen en begint met voorbereiden.

Vijf vragen voor uw eigen organisatie

Gebruik deze vragen als startpunt voor een gesprek tussen directie, IT en security:

• Hoe snel zouden wij merken dat een geldig account ongebruikelijk veel gegevens exporteert?
• Wie mag besluiten om kritieke systemen uit te schakelen, ook buiten kantoortijden, en weet die persoon dat?
• Wanneer hebben wij ons incidentresponsplan voor het laatst geoefend, en wat ging er toen mis?
• Zou een medewerker van onze servicedesk een overtuigende 'IT-collega' aan de telefoon herkennen en weigeren?
• Welke fysieke processen of dienstverlening vallen stil als onze belangrijkste systemen een week niet beschikbaar zijn?

Kunt u niet elke vraag met zekerheid beantwoorden? Dan weet u waar u moet beginnen.