Ahold Delhaize: cyberattacco, sistemi offline in Europa e USA

Ahold Delhaize, il gruppo olandese-belga della grande distribuzione alimentare, ha confermato che i disservizi informatici iniziati la settimana scorsa sono stati causati da azioni dolose di terzi. Per contenere l’attacco l’azienda ha spento siti, app e altri sistemi IT della maggior parte dei suoi marchi in Europa e negli Stati Uniti. Lo riportano The Record, The Register, BleepingComputer e SecurityWeek, che citano l’aggiornamento dell’azienda di lunedì 19 ottobre 2026.

Cosa è successo

Secondo The Register e SecurityWeek, il 12 ottobre Ahold Delhaize ha comunicato un «problema di sicurezza» nella propria rete e ha messo offline alcuni sistemi IT. BleepingComputer riporta che, poco prima dell’annuncio, i clienti di Albert Heijn, Etos e Gall & Gall nei Paesi Bassi e di Delhaize in Belgio non riuscivano a usare siti, app e servizio clienti, mentre i dipendenti della catena americana Stop & Shop avevano difficoltà ad accedere a turni e buste paga.

Nell’aggiornamento del 19 ottobre l’azienda ha confermato che:

• lo spegnimento dei sistemi, compresi siti e app, è stato una misura precauzionale che ha colpito la maggior parte dei marchi in Europa e negli Stati Uniti; secondo l’amministratore delegato Frans Muller l’indagine finora conferma che è stata la decisione giusta;
• tutti i negozi fisici sono rimasti aperti per l’intera durata dell’incidente;
• l’indagine, ancora in corso, non ha trovato prove di furto di dati sensibili di clienti, dipendenti o partner;
• l’NCSC olandese è stato avvisato entro 24 ore dalla scoperta dell’attività malevola e ha ricevuto aggiornamenti, come le forze dell’ordine e le altre autorità competenti; il 19 ottobre l’azienda ha presentato una denuncia formale alla polizia olandese.

Il ripristino

Il ripristino procede per fasi. Al 19 ottobre:

• il sito e l’app di Albert Heijn sono di nuovo online, con le consegne a domicilio previste da venerdì 23 ottobre;
• i siti di Etos e Gall & Gall sono disponibili;
• in Belgio l’e-commerce è di nuovo pienamente operativo, e in Europa centrale e sudorientale è online la maggior parte di siti e app;
• l’e-commerce dei marchi americani (Food Lion, Giant Food, Martin’s, Hannaford e Stop & Shop) dovrebbe tornare «nei prossimi giorni», senza una data precisa.

Secondo BleepingComputer il gruppo conta oltre 384.000 dipendenti e 9.551 negozi negli Stati Uniti, in Europa e in Indonesia, con 77 milioni di clienti a settimana.

Cosa non si sa

Le informazioni tecniche pubbliche sono molto limitate. L’azienda ha dichiarato di non voler condividere dettagli che potrebbero compromettere le misure di sicurezza o interferire con la risposta all’incidente. In particolare:

• non è noto il vettore d’accesso iniziale;
• l’azienda non ha detto se si tratti di ransomware né se ci sia una richiesta di riscatto (The Record); alla domanda di BleepingComputer sulla cifratura di dispositivi e sui sistemi coinvolti (aziendali o dei negozi), un portavoce ha rimandato al comunicato;
• le fonti non riportano rivendicazioni, CVE o indicatori di compromissione.

Non è quindi possibile descrivere la catena d’attacco né associarla a tecniche MITRE ATT&CK senza fare ipotesi.

The Register ha chiesto all’azienda se l’incidente sia collegato al sabotaggio dei controller di refrigerazione di centinaia di supermercati francesi iniziato l’11 ottobre (ne abbiamo scritto in questo articolo), senza ricevere risposta: nessun collegamento è stato stabilito.

Il precedente del 2024

È il secondo attacco importante al gruppo in due anni. A novembre 2024 un’intrusione aveva colpito i sistemi statunitensi: secondo The Register alcuni negozi Stop & Shop avevano avuto problemi con le prescrizioni in farmacia. L’attacco era stato rivendicato dal gruppo ransomware INC Ransom e, secondo le fonti, aveva compromesso dati personali, finanziari e sanitari di oltre 2,2 milioni di persone.

Impatto per le aziende europee e italiane

Il caso mostra il costo del contenimento: spegnere in modo preventivo siti, app e sistemi interni protegge l’infrastruttura, ma ferma l’e-commerce, le consegne e perfino i servizi per i dipendenti. Che i negozi siano rimasti aperti indica che le operazioni del punto vendita potevano funzionare senza i canali digitali spenti.

Sul piano normativo, la notifica all’NCSC entro 24 ore corrisponde al preallarme previsto dalla direttiva NIS2, seguito dalla notifica entro 72 ore e dalla relazione finale entro un mese; in Italia (d.lgs. 138/2024) il destinatario è il CSIRT Italia dell’ACN. La NIS2 copre la distribuzione all’ingrosso e la produzione industriale di alimenti: per la grande distribuzione con logistica propria l’inquadramento va verificato caso per caso. Se l’indagine dovesse trovare dati personali coinvolti, scatta anche la notifica GDPR al Garante entro 72 ore.

Cosa fare subito

1. Prepara la decisione di spegnere: criteri, responsabili e una mappa delle dipendenze che dica cosa si ferma (e-commerce, app, servizio clienti, portali del personale) quando isoli un segmento.
2. Separa i canali: e-commerce, sistemi aziendali, negozi e paesi con reti, identità e accessi amministrativi distinti, così da isolare solo ciò che serve.
3. Prova la continuità dei negozi: casse, pagamenti e approvvigionamento che funzionano anche con i sistemi centrali fermi.
4. Ripristina per fasi e da sistemi puliti: ordine di priorità già deciso, credenziali privilegiate reimpostate e backup verificati prima di ricollegare ogni servizio.
5. Sorveglia i segnali tipici di un’intrusione: nuovi account amministrativi, accessi fuori orario, protezioni disattivate, cancellazione dei backup, trasferimenti di dati insoliti verso l’esterno.
6. Tieni pronte le notifiche: modelli per CSIRT, Garante e denuncia, e messaggi per clienti e dipendenti, che dopo incidenti come questo possono ricevere phishing a nome dell’azienda.

Come aiuta ARXDOME

ARX Sentry raccoglie log ed eventi di computer, server e firewall e, nelle pagine del SOC dedicate alle identità, mostra accessi privilegiati, accessi notturni e modifiche agli account. ARX Shield isola dalla rete con un clic una singola macchina sospetta, senza spegnere interi servizi, e ARX Trace raccoglie dalle macchine le prove per ricostruire l’accaduto. ARX Retain conserva i log su storage europeo con il blocco degli oggetti, pronti per le indagini e per le relazioni alle autorità.

Ultimo aggiornamento: 20 ottobre 2026