Ahold Delhaize: ciberataque, sistemas offline en Europa y EE. UU.

Ahold Delhaize, el grupo neerlandés-belga de distribución alimentaria, ha confirmado que las interrupciones informáticas que empezaron la semana pasada se deben a acciones maliciosas de terceros. Para contener el ataque, la empresa desconectó webs, apps y otros sistemas de TI de la mayoría de sus marcas en Europa y Estados Unidos. Así lo informan The Record, The Register, BleepingComputer y SecurityWeek, que citan la actualización de la empresa del lunes 19 de octubre de 2026.

Qué ha pasado

Según The Register y SecurityWeek, el 12 de octubre Ahold Delhaize comunicó un «problema de seguridad» en su red y desconectó algunos sistemas de TI. BleepingComputer informa de que, poco antes del anuncio, los clientes de Albert Heijn, Etos y Gall & Gall en los Países Bajos y de Delhaize en Bélgica no podían usar webs, apps ni atención al cliente, mientras que los empleados de la cadena estadounidense Stop & Shop tenían problemas para acceder a sus turnos y nóminas.

En la actualización del 19 de octubre la empresa confirmó que:

• la desconexión de los sistemas, incluidas webs y apps, fue una medida de precaución que afectó a la mayoría de las marcas en Europa y Estados Unidos; según el consejero delegado Frans Muller, la investigación confirma hasta ahora que fue la decisión correcta;
• todas las tiendas físicas siguieron abiertas durante todo el incidente;
• la investigación, todavía en curso, no ha encontrado pruebas del robo de datos sensibles de clientes, empleados o socios;
• el NCSC neerlandés recibió el aviso en las 24 horas siguientes al descubrimiento de la actividad maliciosa y ha recibido actualizaciones, igual que las fuerzas del orden y las demás autoridades competentes; el 19 de octubre la empresa presentó una denuncia formal ante la policía neerlandesa.

La recuperación

La recuperación avanza por fases. A 19 de octubre:

• la web y la app de Albert Heijn vuelven a estar en línea, con las entregas a domicilio previstas a partir del viernes 23 de octubre;
• las webs de Etos y Gall & Gall están disponibles;
• en Bélgica el comercio electrónico vuelve a estar plenamente operativo, y en Europa central y sudoriental la mayoría de webs y apps están en línea;
• el comercio electrónico de las marcas estadounidenses (Food Lion, Giant Food, Martin’s, Hannaford y Stop & Shop) debería volver «en los próximos días», sin una fecha concreta.

Según BleepingComputer, el grupo cuenta con más de 384.000 empleados y 9.551 tiendas en Estados Unidos, Europa e Indonesia, con 77 millones de clientes a la semana.

Qué no se sabe

La información técnica pública es muy limitada. La empresa ha declarado que no compartirá detalles que puedan comprometer las medidas de seguridad o interferir con la respuesta al incidente. En concreto:

• se desconoce el vector de acceso inicial;
• la empresa no ha dicho si se trata de ransomware ni si hay una petición de rescate (The Record); cuando BleepingComputer preguntó por el cifrado de dispositivos y por los sistemas afectados (corporativos o de tienda), un portavoz remitió al comunicado;
• las fuentes no mencionan reivindicaciones, CVE ni indicadores de compromiso.

Por eso no es posible describir la cadena de ataque ni asociarla a técnicas de MITRE ATT&CK sin hacer hipótesis.

The Register preguntó a la empresa si el incidente está relacionado con el sabotaje de los controladores de refrigeración de cientos de supermercados franceses iniciado el 11 de octubre (lo contamos en este artículo), sin obtener respuesta: no se ha establecido ninguna relación.

El precedente de 2024

Es el segundo ataque importante contra el grupo en dos años. En noviembre de 2024 una intrusión afectó a sus sistemas de Estados Unidos: según The Register, algunas tiendas Stop & Shop tuvieron problemas para dispensar recetas en farmacia. El ataque fue reivindicado por el grupo de ransomware INC Ransom y, según las fuentes, comprometió datos personales, financieros y de salud de más de 2,2 millones de personas.

Impacto para las empresas europeas e italianas

El caso muestra el coste de la contención: desconectar de forma preventiva webs, apps y sistemas internos protege la infraestructura, pero detiene el comercio electrónico, las entregas e incluso los servicios para empleados. Que las tiendas siguieran abiertas muestra que la operativa del punto de venta podía seguir funcionando sin los canales digitales desconectados.

En el plano normativo, el aviso al NCSC en 24 horas corresponde a la alerta temprana que exige la directiva NIS2, seguida de la notificación en 72 horas y del informe final en un mes; en Italia (Decreto Legislativo 138/2024) el destinatario es el CSIRT Italia de la ACN. La NIS2 cubre la distribución mayorista y la producción industrial de alimentos: para las grandes cadenas con logística propia, el encuadre debe verificarse caso por caso. Si la investigación encontrara datos personales afectados, también habría que notificar a la autoridad de protección de datos en 72 horas, según el RGPD.

Qué hacer ya

1. Prepara la decisión de desconectar: criterios, responsables y un mapa de dependencias que diga qué se detiene (comercio electrónico, apps, atención al cliente, portales del personal) cuando aíslas un segmento.
2. Separa los canales: comercio electrónico, sistemas corporativos, tiendas y países con redes, identidades y accesos administrativos distintos, para aislar solo lo necesario.
3. Prueba la continuidad de las tiendas: cajas, pagos y aprovisionamiento que funcionen aunque los sistemas centrales estén caídos.
4. Restaura por fases y desde sistemas limpios: un orden de prioridad decidido de antemano, credenciales privilegiadas restablecidas y copias de seguridad verificadas antes de reconectar cada servicio.
5. Vigila las señales típicas de una intrusión: nuevas cuentas de administrador, accesos fuera de horario, protecciones desactivadas, copias de seguridad borradas, transferencias de datos inusuales hacia el exterior.
6. Ten listas las notificaciones: plantillas para el CSIRT, la autoridad de protección de datos y la denuncia, y mensajes para clientes y empleados, que tras incidentes como este pueden recibir phishing en nombre de la empresa.

Cómo ayuda ARXDOME

ARX Sentry recoge logs y eventos de ordenadores, servidores y cortafuegos y, en las páginas del SOC dedicadas a las identidades, muestra accesos privilegiados, accesos nocturnos y cambios en las cuentas. ARX Shield aísla de la red con un clic una sola máquina sospechosa, sin apagar servicios enteros, y ARX Trace recoge de las máquinas las pruebas para reconstruir lo ocurrido. ARX Retain conserva los logs en almacenamiento europeo con bloqueo de objetos, listos para las investigaciones y los informes a las autoridades.

Última actualización: 20 de octubre de 2026