Twee storingen in tien dagen: wat Albert Heijn en het PHP-lek zeggen over vertrouwen online

Dit stuk geeft de stand van woensdag 21 oktober 2026, rond 17:00 uur. Verandert het beeld, dan werken we het bij.

Wat er gebeurde

Albert Heijn. Op zondag 11 oktober kregen Albert Heijn, Etos en Gall & Gall te maken met een cybersecurity-incident. Uit voorzorg zette het bedrijf systemen uit: websites, apps en klantenservice waren tijdelijk niet bereikbaar, online bestellen en bezorgen lagen stil, en persoonlijke kortingen en spaaracties werkten niet. De winkels bleven open en de kassa's werkten. Volgens Albert Heijn zijn er tot nu toe geen aanwijzingen dat persoonsgegevens zijn geraakt; het onderzoek loopt nog. Op 19 oktober deed moederbedrijf Ahold Delhaize aangifte ^[1]. Albert Heijn waarschuwde klanten ook voor nepmails en nep-sms'jes uit naam van het bedrijf ^[2]. Concurrenten als Jumbo, Lidl, Picnic, ALDI en PLUS meldden drukkere winkels en meer online bestellingen ^[3].

Het PHP-lek. Op 21 oktober werden twee ernstige lekken bekend in PHP, de programmeertaal waarop een groot deel van de websites draait. Wie ze misbruikt, kan eigen code laten draaien op de server. Uit voorzorg gingen onder meer DigiD, MijnOverheid, de site van de Tweede Kamer, het Nationaal Cyber Security Centrum (NCSC), ziekenhuizen, voetbalclubs en goede doelen als KWF en de Hartstichting offline ^[4][5]. Het NCSC noemde elk systeem met PHP dat vanaf internet bereikbaar is "vermoedelijk kwetsbaar" ^[5]. Om 15:43 uur stond de beveiligingsupdate van PHP online, en rond 17:00 uur waren de eerste sites, zoals RTL en Tweakers, weer bereikbaar ^[5]. Minister Van Weel meldde dat er nog geen signalen zijn dat de lekken actief worden misbruikt ^[5]. Ahold Delhaize ziet geen verband met het incident bij Albert Heijn ^[5].

Wat we nog niet weten

Wat er bij Albert Heijn precies gebeurde en wie erachter zit. Of er ergens misbruik is gemaakt van het lek in PHP. En wanneer DigiD, MijnOverheid en de andere sites weer veilig online zijn.

Wat het betekent voor je marketing

1. Je eigen website. WordPress draait op PHP ^[6], en daarmee een groot deel van de sites van kleine bedrijven, webshops en verenigingen. De beveiligingsupdate van PHP is er sinds 21 oktober. Vraag je hoster of websitebouwer of hij op je site staat. Dat is het belangrijkste van dit stuk.

2. Je mails en berichten. Nieuws als dit is een vaste haak voor oplichters, zoals de nepmails uit naam van Albert Heijn laten zien ^[2]. Jouw echte mails komen in dezelfde inbox terecht, bij lezers die nu extra wantrouwig zijn, en terecht. Vraag de komende tijd niet om in te loggen via een link, beloof geen compensatie die je niet hebt, en schrijf zonder haast. Een rustige mail valt nu meer op dan een dringende.

3. Het contact met je klanten. Bij Albert Heijn stonden persoonlijke kortingen en spaaracties stil, en concurrenten meldden drukkere winkels ^[1][3]. Hoe sterk een band ook is, als hij aan één systeem hangt, staat hij stil als dat systeem stilstaat. Een eigen maillijst, een bericht op je site en een klantenservice die ook zonder app bereikbaar is, houden het contact open.

4. Je cijfers. Dagen waarop je site of een dienst waar je van afhangt eruit lag, zijn een meetbreuk. Een dip in bezoek of verkoop in die dagen zegt niets over je campagne. Zet de datums als notitie in Google Analytics.

5. Hoe je communiceert als het misgaat. Albert Heijn houdt één verklaring bij met wat het weet, wat nog niet en wat klanten kunnen doen ^[1]. Dat kan elk bedrijf, ook een klein: zeg wat er aan de hand is, wat je nog niet weet, en wanneer je het volgende bericht stuurt.

Vooruitblik: vertrouwen wordt schaars

Steeds meer van ons dagelijks leven loopt via een paar digitale deuren: één inlog voor de overheid, één app voor de boodschappen, één manier om te betalen. Dat is gemakkelijk, tot een van die deuren dichtgaat. In tien dagen gingen er twee dicht, om heel verschillende redenen.

Mijn verwachting is dat mensen daardoor niet minder online gaan doen, maar wel kritischer worden op wie ze hun gegevens en hun aandacht geven. Ik zie twee scenario's. In het eerste wennen we eraan: storingen worden gewoon, zoals files, en niemand let er nog op. In het tweede wordt betrouwbaarheid een reden om ergens klant te worden: de winkel die bereikbaar blijft, eerlijk zegt wat er speelt en nooit om je wachtwoord vraagt. Ik denk dat het tweede scenario wint, en dat het kleinere bedrijven kansen geeft: zorgvuldigheid kost geen groot budget.

Voor marketing betekent dat: minder schreeuwen, meer betrouwbaar zijn. Dat is minder spectaculair dan een nieuwe campagne, maar het blijft langer hangen.