Cyberaanval bij Albert Heijn legt volgens hacker digitale kwetsbaarheid bloot: 'Ik kan een serieuze aanval op het stroomnet uitvoeren'

De cyberproblemen bij Albert Heijn laten zien hoe kwetsbaar de samenleving is voor digitale aanvallen. Door het incident liggen onder meer de website, app en bezorgdienst van de supermarktketen plat en kampen winkels met bevoorradingsproblemen. Ethisch hacker Willem Westerhof waarschuwt dat een aanval grote gevolgen kan hebben.

De website en app van Albert Heijn zijn getroffen door een cyberincident. Ook de bezorgdienst ondervindt problemen en in verschillende winkels zijn de schappen minder goed gevuld. De supermarktketen heeft systemen uit voorzorg uitgeschakeld om verdere problemen te voorkomen. De oorzaak van het incident wordt nog onderzocht.

Volgens ethisch hacker Willem Westerhof is het mogelijk dat de aanvallers zich eerst binnen het netwerk van Albert Heijn hebben bewogen. "Waarschijnlijk zijn ze om zich heen gaan kijken in dat netwerk en is dat opgevallen bij de securitydienstverlening van Albert Heijn. En hebben ze toen gezegd: er is hier iets echt mis. We gaan preventief de boel dichtzetten om dit incident niet verder uit te laten breiden."

Dat Albert Heijn systemen heeft uitgeschakeld, wijst er volgens Westerhof op dat de situatie serieus werd genomen. "Je sluit niet zomaar als Albert Heijn je logistieke keten af voor iets kleins. Dan hebben ze echt wel iets gezien wat serieus is."

Drieënhalve minuut

Westerhof houdt er rekening mee dat het om een criminele bende gaat die uit is op geld. Bij ransomware proberen aanvallers systemen te versleutelen, waarna ze losgeld eisen om die weer toegankelijk te maken. "Dan pers je mensen af om op die manier geld te krijgen. Dan zeg je: we ontsleutelen jouw systemen als je ons heel veel geld geeft."

Het losgeld kan volgens de hacker flink oplopen. "Dat is vaak een percentage van de omzet of de winst van een bedrijf." Hoe snel aanvallers toegang kunnen krijgen tot een systeem, blijkt volgens Westerhof uit een eigen record. "Ons interne record is geloof ik van inprikken naar admin van het hele bedrijf is drieënhalve minuut."

Of de aanvallers bij Albert Heijn daadwerkelijk op die manier zijn binnengekomen, is nog niet duidelijk. Ook is nog niet bekend wat er precies is gebeurd. Over eventueel gestolen persoonsgegevens is eveneens voorzichtigheid geboden. Voor zover nu bekend zijn er geen aanwijzingen dat klant- of personeelsgegevens zijn buitgemaakt.

Samenleving ontwrichten

CDA-Kamerlid Harmen Krul wijst op de bredere gevolgen die een digitale aanval kan hebben. Als een supermarktketen niet meer goed kan functioneren, raakt dat volgens hem al snel de samenleving als geheel. "Ik denk dat het ook een hele makkelijke manier is om de samenleving te ontwrichten. Want als je weet: we kunnen een supermarkt platleggen en trekken alle stekkers eruit en binnen een dag zijn de schappen leeg, dan heb je eigenlijk een vrij laagdrempelige manier gevonden om enorm veel chaos te veroorzaken."

Ook andere vitale voorzieningen kunnen kwetsbaar zijn. Westerhof benadrukt dat scenario's waarbij digitale aanvallen grote gevolgen hebben niet alleen op televisie voorkomen. "Dit soort scenario's kan je gewoon in de praktijk wel waarmaken."

Hij wijst daarbij ook op de stroomvoorziening. "Kijk, mijn specialisatie zit in stroomnet. Dat is iets waar ik heel goed in ben. Ik ben iemand die in staat zou kunnen zijn om een serieuze aanval te doen op het stroomnet."

Een aanval op het elektriciteitsnet kan grote gevolgen hebben, omdat ook andere voorzieningen afhankelijk zijn van stroom. De uitspraken van Westerhof onderstrepen hoe belangrijk het is om digitale systemen goed te beveiligen.

Nederland neemt dreiging serieuzer

Volgens Westerhof wordt de digitale dreiging in Nederland inmiddels serieuzer genomen, mede door de geopolitieke spanningen. "Omdat je ziet dat er veel meer aanvallen gebeuren over en weer. Dan zie je ook dat de AIVD en het NCSC daar veel breder voor aan het waarschuwen zijn."

Nederland is volgens de hacker relatief goed bezig met cyberveiligheid. Hij wijst onder meer op wetten en initiatieven om kwetsbaarheden in systemen op te sporen en aan te pakken. Toch laten eerdere voorbeelden zien dat digitale aanvallen ook in de praktijk gevolgen kunnen hebben.

Westerhof vertelt dat hij presentaties heeft gegeven over kwetsbaarheden die hij met anderen heeft aangetoond. "Wij hebben bijvoorbeeld in Den Haag de verkeerscamera's en de stoplichten uit kunnen zetten."