Albert Heijn'in Zaandam'daki dağıtım merkezi (temsili)

Hollanda Adalet ve Güvenlik Bakanı David van Weel, 16 Ekim 2026'da süpermarket grubu Ahold Delhaize'yi 11 Ekim 2026'da başlayan siber güvenlik olayı için resmi suç duyurusunda bulunmaya çağırdı. ANP haber ajansına konuşan Van Weel, şirketin ilk aşamada sistem hasarını önlemeye odaklanmasını ve dışarıyla hemen temas kurmamasını anladığını belirterek, ortamın sakinleştiği bu aşamada artık yasal başvuruyu yapma zamanının geldiğini söyledi.

Hollanda Polisi ve Savcılık (OM) da 14 Ekim 2026'da Driebergen'den yaptıkları ortak açıklamada olayla ilgili şu anda yürütülen bir cezai soruşturma bulunmadığını bildirmiş, şirketi suç duyurusunda bulunmaya davet etmişti. Açıklamada, başarılı bir kovuşturma için mağdurdan olabildiğince hızlı bilgi alınmasının kritik olduğu belirtildi. Ahold Delhaize, yürürlükteki Siber Güvenlik Yasası kapsamındaki yasal bildirimini Ulusal Siber Güvenlik Merkezi'ne (NCSC) yaptı; polise ise suç duyurusunda bulunmadı. NOS yayın kuruluşu, polis ve savcılığın bir şirket için kamuoyu önünde bu yönde çağrı yapmasının nadir görüldüğünü aktardı.

Hollanda mevzuatına göre savcılık ve polis şikayet olmadan da re'sen soruşturma başlatma yetkisine sahip. Buna karşın polis sözcüsü Duijf, NU.nl'ye henüz kendiliğinden bir adli soruşturma açılmadığını, Albert Heijn'in verdiği 'hassas müşteri verisinin çalınmadığı' bilgisinin bu kararda etkili olduğunu belirtti.

Ahold: Veri Alındığına Dair Kanıt Yok

Ahold Delhaize sözcüsü, bakanın sözlerine yanıt veremeyeceğini söyleyerek şirketin 14 Ekim tarihli son açıklamasını işaret etti. Olayı bir 'hack' olarak nitelemekten kaçınan grup, iç ekiplerin dış siber güvenlik uzmanlarıyla birlikte sistemleri incelediğini, soruşturmanın sürdüğünü ve şu ana kadar müşteri, çalışan ya da iş ortaklarına ait verilerin ele geçirildiğine dair herhangi bir kanıt bulunmadığını yineliyor.

Kesinti grubu Avrupa'da ve ABD'de etkiliyor. Hollanda'daki Albert Heijn, Etos ve Gall & Gall ile ABD'deki Stop & Shop, Giant Food, Hannaford ve Food Lion zincirlerinin internet siteleri ve online teslimat servisleri 16 Ekim'de beşinci gününde de kapalıydı. Albert Heijn dağıtım merkezleri 15 Ekim 2026 akşamı yeniden çalışmaya başlasa ve fiziki mağazalar açık kalsa da online sipariş teslimatlarının 18 Ekim 2026 Pazar gününden önce başlaması beklenmiyor.

ABD'de The Giant Company sözcüsü Ashley Flower, internet sitesi ve mobil uygulamanın kapalı kalması nedeniyle haftalık indirim kuponlarının kasada müşteri kartlarıyla otomatik uygulandığını, tamamlanamayan online siparişlerin ücretlerinin iade edileceğini ve Instacart, DoorDash ve Uber Eats üzerinden sipariş verilebildiğini bildirdi. Sektör kaynaklarının Financieele Dagblad'a aktardığı tahminlere göre kesintilerin şirkete günlük maliyeti on milyonlarca euroyu buluyor; Ahold Delhaize ise mali tabloyu netleştirmek için henüz erken olduğunu söylüyor.

Saldırıda Yabancı Sunucular Kullanıldı

Hollanda kamu yayıncısı NOS, 13 Ekim'de anonim güvenlik kaynaklarına dayanarak saldırıda ABD, Polonya, Moldova ve Türkiye'deki sunucuların kullanıldığını aktardı. Sunucunun bulunduğu ülke, saldırganların nerede olduğunu göstermiyor. NOS'a göre Albert Heijn bu altyapı bilgisini başka şirketlerle paylaştı; Ahold'un ABD koluna ait sunucuların da işin içinde olabileceği belirtiliyor ama bu kesin değil. Albert Heijn teknik ayrıntı vermiyor.

Saldırının türü, saldırganların kimliği ve Ahold'un suç duyurusunda bulunup bulunmayacağı açıklanmadı. ABD sitelerinin ne zaman açılacağı da belli değil. Olayın ilk günlerini Albert Heijn ve Ahold Delhaize'deki siber olay haberimizde aktarmıştık. Aynı hafta sonu Fransa'da süpermarketlerin soğutma sistemlerine ayrı bir saldırı oldu; iki olay arasında bir bağlantı açıklanmadı.

Kaynaklar

Kapak: Albert Heijn'in Zaandam'daki dağıtım merkezi (temsili, 2018). Fotoğraf: Marion Golsteijn, Wikimedia Commons, CC BY-SA 4.0.