Ahold Delhaize: atac cibernetic, sisteme offline în Europa și SUA

Ahold Delhaize, grupul olandezo-belgian de retail alimentar, a confirmat că întreruperile informatice începute săptămâna trecută au fost cauzate de acțiunile rău intenționate ale unor terți. Pentru a limita atacul, compania a oprit site-uri, aplicații și alte sisteme IT ale majorității mărcilor sale din Europa și Statele Unite. Informația vine de la The Record, The Register, BleepingComputer și SecurityWeek, care citează actualizarea companiei de luni, 19 octombrie 2026.

Ce s-a întâmplat

Potrivit The Register și SecurityWeek, pe 12 octombrie Ahold Delhaize a anunțat o „problemă de securitate” în rețeaua sa și a scos offline unele sisteme IT. BleepingComputer relatează că, puțin înainte de anunț, clienții Albert Heijn, Etos și Gall & Gall din Țările de Jos și ai Delhaize din Belgia nu puteau folosi site-urile, aplicațiile și serviciul de asistență, iar angajații lanțului american Stop & Shop aveau probleme la accesarea programului de lucru și a fluturașilor de salariu.

În actualizarea din 19 octombrie, compania a confirmat că:

• oprirea sistemelor, inclusiv a site-urilor și aplicațiilor, a fost o măsură de precauție care a afectat majoritatea mărcilor din Europa și Statele Unite; potrivit directorului general Frans Muller, investigația confirmă până acum că a fost decizia corectă;
• toate magazinele fizice au rămas deschise pe toată durata incidentului;
• investigația, încă în desfășurare, nu a găsit dovezi privind furtul de date sensibile ale clienților, angajaților sau partenerilor;
• NCSC din Țările de Jos a fost anunțat în 24 de ore de la descoperirea activității rău intenționate și a primit actualizări, ca și forțele de ordine și celelalte autorități competente; pe 19 octombrie compania a depus o plângere oficială la poliția olandeză.

Restabilirea

Restabilirea se face în etape. La 19 octombrie:

• site-ul și aplicația Albert Heijn sunt din nou online, iar livrările la domiciliu sunt așteptate din vineri, 23 octombrie;
• site-urile Etos și Gall & Gall sunt disponibile;
• în Belgia comerțul online este din nou complet funcțional, iar în Europa Centrală și de Sud-Est majoritatea site-urilor și aplicațiilor sunt online;
• comerțul online al mărcilor americane (Food Lion, Giant Food, Martin’s, Hannaford și Stop & Shop) ar trebui să revină „în zilele următoare”, fără o dată precisă.

Potrivit BleepingComputer, grupul are peste 384.000 de angajați și 9.551 de magazine în Statele Unite, Europa și Indonezia, cu 77 de milioane de clienți pe săptămână.

Ce nu se știe

Informațiile tehnice publice sunt foarte limitate. Compania a declarat că nu va face publice detalii care ar putea compromite măsurile de securitate sau ar putea afecta răspunsul la incident. În special:

• vectorul de acces inițial nu este cunoscut;
• compania nu a spus dacă este vorba de ransomware sau dacă s-a cerut o răscumpărare (The Record); la întrebarea BleepingComputer despre criptarea dispozitivelor și despre sistemele afectate (corporative sau din magazine), un purtător de cuvânt a trimis la comunicat;
• sursele nu menționează revendicări, CVE sau indicatori de compromitere.

Prin urmare, nu se poate descrie lanțul de atac și nici asocia cu tehnici MITRE ATT&CK fără a face presupuneri.

The Register a întrebat compania dacă incidentul are legătură cu sabotarea controlerelor de refrigerare din sute de supermarketuri franceze, începută pe 11 octombrie (am scris despre asta în acest articol), fără să primească răspuns: nu s-a stabilit nicio legătură.

Precedentul din 2024

Este al doilea atac important asupra grupului în doi ani. În noiembrie 2024, o intruziune a afectat sistemele din Statele Unite: potrivit The Register, unele magazine Stop & Shop au avut probleme cu eliberarea rețetelor în farmacie. Atacul a fost revendicat de grupul de ransomware INC Ransom și, potrivit surselor, a compromis date personale, financiare și medicale ale peste 2,2 milioane de persoane.

Impactul pentru companiile europene și italiene

Cazul arată costul izolării: oprirea preventivă a site-urilor, aplicațiilor și sistemelor interne protejează infrastructura, dar blochează comerțul online, livrările și chiar serviciile pentru angajați. Faptul că magazinele au rămas deschise arată că activitatea din magazine putea continua fără canalele digitale oprite.

Din punct de vedere normativ, notificarea către NCSC în 24 de ore corespunde avertizării timpurii cerute de directiva NIS2, urmată de notificarea în 72 de ore și de raportul final într-o lună; în Italia (Decretul legislativ 138/2024) destinatarul este CSIRT Italia din cadrul ACN. NIS2 acoperă distribuția angro și producția industrială de alimente: pentru marile lanțuri cu logistică proprie, încadrarea trebuie verificată de la caz la caz. Dacă investigația ar găsi date personale implicate, este necesară și notificarea GDPR către autoritatea de protecție a datelor în 72 de ore.

Ce să faci acum

1. Pregătește decizia de oprire: criterii, responsabili și o hartă a dependențelor care arată ce se oprește (comerț online, aplicații, asistență pentru clienți, portaluri pentru personal) când izolezi un segment.
2. Separă canalele: comerț online, sisteme corporative, magazine și țări cu rețele, identități și acces administrativ distincte, ca să poți izola doar ce este necesar.
3. Testează continuitatea magazinelor: case de marcat, plăți și aprovizionare care funcționează și când sistemele centrale sunt oprite.
4. Restabilește în etape și din sisteme curate: o ordine de prioritate stabilită dinainte, credențiale privilegiate resetate și copii de rezervă verificate înainte de a reconecta fiecare serviciu.
5. Urmărește semnalele tipice ale unei intruziuni: conturi noi de administrator, autentificări în afara programului, protecții dezactivate, copii de rezervă șterse, transferuri de date neobișnuite către exterior.
6. Ține pregătite notificările: modele pentru CSIRT, autoritatea de protecție a datelor și plângerea la poliție, plus mesaje pentru clienți și angajați, care după astfel de incidente pot primi phishing în numele companiei.

Cum ajută ARXDOME

ARX Sentry colectează loguri și evenimente de pe computere, servere și firewall-uri și, în paginile SOC dedicate identităților, arată autentificările privilegiate, autentificările din timpul nopții și modificările conturilor. ARX Shield izolează din rețea, cu un clic, o singură mașină suspectă, fără a opri servicii întregi, iar ARX Trace colectează de pe mașini dovezile pentru a reconstitui ce s-a întâmplat. ARX Retain păstrează logurile pe stocare europeană cu blocarea obiectelor, pregătite pentru investigații și pentru rapoartele către autorități.

Ultima actualizare: 20 octombrie 2026