Ahold Delhaize loopt door de cyberaanval van oktober in het vierde kwartaal 200 tot 250 miljoen euro aan omzet mis. Het bedrijfsresultaat valt naar verwachting 75 tot 100 miljoen euro lager uit. Daarom heeft het moederbedrijf van Albert Heijn zijn financiële verwachtingen voor heel 2026 bijgesteld.
Het retailconcern maakte de cijfers bekend bij de presentatie van de resultaten over het derde kwartaal. De gemiste omzet van maximaal een kwart miljard euro betreft een voorlopige schatting voor het lopende vierde kwartaal. Bovenop de gederfde omzet en winst komen nog aanvullende kosten voor incidentrespons en het herstel van IT-systemen. Volgens Ahold Delhaize hebben die herstelkosten echter een marginale invloed op het IFRS-bedrijfsresultaat over 2026.
De aanval begon medio oktober, waarna Ahold Delhaize conform eigen veiligheidsprotocollen direct systemen offline haalde om de IT-omgeving te isoleren. Dat trof in eerste instantie vooral de online diensten in de Benelux en de Verenigde Staten. Kort daarna bleek dat het cybersecurity-incident bij Albert Heijn ook de toeleveringsketen en winkels raakte in de Benelux. Dochteronderneming Bol bleef buiten schot.
Forse omzetuitval door distributie- en bezorgproblemen
De financiële klap in het vierde kwartaal is grotendeels toe te schrijven aan het stilvallen van de operatie. In Nederland waren de websites, apps, klantenservice en bezorging van Albert Heijn, Etos en Gall & Gall tijdelijk onbereikbaar. De thuisbezorging lag ongeveer twee weken stil, waardoor bestellingen moesten worden geannuleerd en vooruitbetalingen werden teruggestort. Pas na intensief herstelwerk kwamen de website en app van Albert Heijn weer online. Doordat distributiecentra deels stillagen, kampten winkels bovendien met lege schappen bij verse producten zoals groente, fruit, zuivel en vlees.
“Hoewel het grootste deel van de verstoring binnen twee weken onder controle was, wordt er nog steeds gewerkt aan het volledig herstellen van onze normale bedrijfsactiviteiten”, verklaart topman Frans Muller. Volgens hem relativeert het concern de impact op de lange termijn: “Het incident definieert ons bedrijf niet.”
Over de exacte aard van de aanval doet het concern weinig inhoudelijke uitspraken, behalve dat er sprake was van kwaadwillige acties van buitenaf. Er zijn volgens het bedrijf geen aanwijzingen dat klant-, personeels- of partnergegevens zijn buitgemaakt. Nadat de politie en het Openbaar Ministerie Ahold Delhaize publiekelijk opriepen tot aangifte, heeft het concern officieel aangifte gedaan bij de autoriteiten.
Het is niet het eerste grootschalige incident binnen het concern. In november 2024 werd de Amerikaanse tak getroffen door ransomware van de groep INC Ransom. Destijds werd zo’n 6 terabyte aan data ontvreemd en lekten er persoonsgegevens van medewerkers uit, waaronder namen en bankrekeningnummers.
Gevolgen voor de jaarprognose van 2026
De financiële klap in het vierde kwartaal dwingt Ahold Delhaize tot het temperen van de jaardoelen voor 2026. Het concern rekent nu op een bescheidener winstgroei en verwacht dat de vrije kasstroom zo’n 200 miljoen euro lager uitvalt dan eerder voorzien. Naast de cyberaanval spelen daarbij ook aangepaste regels voor leveranciersbetalingen in Servië mee.
Voor het incident verliep het jaar overigens volgens verwachting. In het derde kwartaal boekte het moederbedrijf van Albert Heijn een stabiele omzetgroei, mede aangejaagd door een aanhoudende vraag naar online boodschappen in de Verenigde Staten.
Voor aandeelhouders blijft de koers grotendeels ongewijzigd. Ahold Delhaize houdt vast aan zijn plannen om dividend uit te keren en start begin volgend jaar met een nieuw aandeleninkoopprogramma. Tevens kondigde het concern de overname aan van de activiteiten van Tesco in Tsjechië en Slowakije, een deal die nog wacht op goedkeuring van toezichthouders.