Na Binance en Albert Heijn: waarom een hack voor iedereen vooral een kwestie van tijd is

In dit artikel:

Twee grote cyberincidenten in oktober 2026 laten zien dat geen enkel bedrijf volledig onaantastbaar is. Binance, ’s werelds grootste cryptobeurs, verloor op 29 oktober ongeveer 6,36 miljard dollar uit wallets op tien blockchains. Het grootste deel van de buit werd binnen twintig minuten verplaatst, waarmee dit volgens het artikel de grootste cryptodiefstal ooit is. De aanval was ruim vier keer groter dan de hack van Bybit in februari 2025 en groter dan alle cryptodiefstallen samen in 2025.

Volgens Binance kregen aanvallers via de laptop van een engineer toegang tot een servicecontainer. Vandaaruit konden zij ongeautoriseerde opnames indienen die er voor de blockchain uitzagen als normale transacties. Analysebedrijven vermoeden dat een Noord-Koreaanse groep, mogelijk TraderTraitor, achter de aanval zit en wijzen op maandenlange voorbereiding. Binance zegt ongeveer 3 miljard dollar te hebben laten bevriezen en alle verliezen te zullen vergoeden. De aanval veroorzaakte bovendien een daling van ongeveer 4 procent van de bitcoinprijs.

Ook Albert Heijn en zusterbedrijven Etos en Gall & Gall werden in oktober getroffen. Vanaf zondag 11 oktober schakelde moederbedrijf Ahold Delhaize delen van zijn IT uit nadat kwaadwillenden verdachte activiteiten hadden veroorzaakt. Daardoor lagen thuisbezorging en werkzaamheden in distributiecentra stil, waren in sommige winkels schappen leeg en ging de online winkel tijdelijk offline. Ahold Delhaize bevestigde de kwaadaardige oorzaak op 19 oktober bij de aangifte. Retailexperts schatten het omzetverlies van Albert Heijn op 120 tot 150 miljoen euro. Niet-bezorgd voedsel ging deels naar voedselbanken en klanten met geannuleerde bestellingen kregen 10 euro tegoed.

Ahold Delhaize heeft vooralsnog geen aanwijzingen gevonden dat gevoelige gegevens van klanten, medewerkers of partners zijn gestolen. Het snel uitschakelen van systemen wijst erop dat er een incidentenplan klaarlag, al duurde het herstel ongeveer twee weken. De twee gevallen maken duidelijk dat niet alleen de beveiliging zelf telt, maar ook de mate waarin systemen met elkaar verbonden zijn. Een probleem bij één laptop of IT-onderdeel kan zo doorwerken naar financiële transacties, distributie en winkels.

De belangrijkste les voor bedrijven is daarom het uitgangspunt ‘assume breach’: ga ervan uit dat een aanvaller uiteindelijk binnenkomt en beperk vervolgens diens bewegingsruimte en mogelijke schade. Sinds 15 augustus 2026 geldt bovendien de Nederlandse Cyberbeveiligingswet, de uitwerking van de Europese NIS2-richtlijn. Organisaties in essentiële en belangrijke sectoren hebben daardoor een zorg- en meldplicht. Cybersecurity is daarmee nadrukkelijk ook een verantwoordelijkheid van bestuurders en leveranciers, niet alleen van IT-afdelingen.

Hoewel het aandeel bedrijven dat een extern cyberincident meldt volgens het CBS daalde van gemiddeld 11 procent in 2016 naar 4 procent in 2024, blijft vooral het mkb kwetsbaar. Grote bedrijven worden vaker getroffen door ransomware, maar hebben doorgaans meer geld voor back-ups, monitoring en crisisrespons. Slechts 12 procent van de bedrijven in onder meer de bouw, transport en horeca is tegen cyberrisico’s verzekerd, tegenover 40 procent in de financiële sector. Voor een kleine onderneming zonder verzekering, offline back-up of herstelplan kan een korte bedrijfsonderbreking fataal zijn. Het mkb vormt bovendien regelmatig een toegangspoort tot grotere klanten en moet daarom steeds vaker aan strengere veiligheidseisen voldoen.

Consumenten zijn vooral doelwit van grootschalige phishing, fraude en gestolen wachtwoorden. In 2024 zei 16 procent van de Nederlanders van 15 jaar en ouder slachtoffer te zijn geweest van online criminaliteit. Daarnaast kunnen zij indirect worden geraakt door storingen bij grote bedrijven, bijvoorbeeld door geannuleerde supermarktbestellingen, een niet-werkende klantenkaart of tijdelijke ontoegankelijkheid van cryptogeld. Na een groot incident ontstaan vaak nieuwe phishingpogingen met valse berichten over compensatie of verificatie. Consumenten doen er daarom goed aan zulke links niet te openen, maar rechtstreeks de officiële app of website te gebruiken.

Volledige veiligheid bestaat volgens de analyse niet. De werkelijke vragen zijn hoe snel een aanvaller wordt ontdekt, hoeveel schade hij kan aanrichten en hoe snel systemen herstellen. Tweestapsverificatie, offline back-ups, goede toegangsbeperkingen en een getest incidentenplan kunnen het verschil maken tussen een beheersbaar incident en een langdurige crisis.