AH-hack: wat kunnen we hiervan leren?

Sinds oktober 2026 kampt Albert Heijn (moederbedrijf Ahold Delhaize) met een grootschalig cyberincident. Apps gingen offline, bezorgingen werden geannuleerd en distributiecentra vielen deels stil, wat leidde tot lege schappen. Hoewel het Mkb op een kleinere schaal opereert, biedt deze crisis vitale lessen om de eigen cyberveiligheid aan te scherpen. Drive adviseert iedereen hier goed naar te kijken en zeer alert te zijn.

Tankstations

De tankstationbranche is de afgelopen jaren razendsnel gedigitaliseerd. Wat vroeger een mechanische pomp was, is nu een knooppunt van gekoppelde systemen: kassasystemen (POS), tankpassen, loyaliteitsprogramma’s, camerabewaking, slimme brandstofmeters en snellaadpalen. Omdat een storing direct leidt tot een operationele stop (geen betalingen = geen brandstof).

De meest urgente vraag die elke tankstationondernemer zichzelf moet stellen is: wat gebeurt er als de internetverbinding of de cloud-leverancier wegvalt? Zorg daarnaast voor een fysiek noodplan op één A4’tje achter de kassa. Hierin staat precies wie de medewerker belt, hoe pompen handmatig vergrendeld of ontgrendeld worden, en hoe er gecommuniceerd wordt naar klanten. Installeer ook een 4G/5G-fallback router. Als de vaste internetlijn (glasvezel/DSL) uitvalt, schakelt het kassasysteem automatisch over op het mobiele netwerk, zodat klanten kunnen blijven pinnen.

Netwerksegmentatie

Tankstations hangen vol met IoT-apparaten (Internet of Things): digitale prijzenborden, kentekencamera’s en EV-laadpalen. Deze apparaten zijn berucht om hun zwakke beveiliging. Als een hacker het camerasysteem binnendringt, mag hij echter nooit bij het kassasysteem kunnen komen.

Deel het netwerk daarom op in virtuele sub-netwerken (VLAN’s):

• 1. Netwerk 1: Kassasysteem (POS) en betaalterminals.
  2. Netwerk 2: Pompaansturing, tankmeters en laadinfrastructuur.
  3. Netwerk 3: Cameratoezicht en kantoorautomatisering.
  4. Netwerk 4: Gratis wifi voor klanten in de shop.

Leveranciersbeheer

De grootste digitale risico’s voor tankstations ontstaan niet via een directe hack op de locatie zelf, maar via externe leveranciers die toegang hebben tot de systemen (voor onderhoud of updates). Maak harde afspraken met de partijen die jouw kassasysteem of tankmeters beheren. Wie voert de updates uit? Eis dat leveranciers die op afstand (remote) inloggen, dit verplicht moeten doen via Multi-Factor Authenticatie (MFA).

Personeel

In de petrol-sector werken veel parttimers, studenten en is er een relatief hoog verloop. Vaak wordt er gewerkt met één algemeen account voor de kassa of de backoffice. Als een ex-medewerker kwaad wil, of een wachtwoord rondslingert, ligt het hele systeem open. Schaf gedeelde accounts direct af. Geef elke medewerker een persoonlijke inlogcode of tag. Wijzig of blokkeer accounts onmiddellijk zodra iemand uit dienst treedt.

Skimming & Shimming

Criminelen richten zich bij tankstations nog steeds sterk op de betaalautomaten aan de pomp (onbemand tanken). Met technieken als shimming of skimming plaatsen ze fysieke hardware in of op de kaartlezer om bankpasgegevens te kopiëren. Voer dagelijkse visuele inspecties uit op de betaalautomaten aan de pomp. Zorg dat de camera’s (CCTV) goed zijn uitgelijnd op de betaalterminals om manipulatie snel te detecteren.

Wil je meer weten over cybersecurity, kamp je met problemen of wil je jouw bedrijf digitaal weerbaarder maken? Neem dan contact op met het Drive-secretariaat via info@drivenederland.nl.