Kyberútok na Ahold Delhaize: aplikace Můj Albert nejede přes týden
Aplikace Můj Albert nefunguje už přes týden. Český řetězec ji vypnul sám, preventivně, kvůli kybernetickému incidentu v mateřské skupině Ahold Delhaize – a zatím není jasné, kdy ji znovu spustí. Prodejny přitom běží dál bez omezení; problém je čistě v digitální vrstvě, přes kterou zákazníci sbírají body a dostávají se k akčním cenám.
Jde o učebnicový příklad toho, jak se jeden bezpečnostní incident šíří napříč nadnárodní skupinou. Albert je součástí nizozemsko-belgického koncernu Ahold Delhaize, který provozuje desítky řetězců v Evropě i ve Spojených státech. Když se něco stane v centrální síti, dopad se rychle rozlije do jednotlivých zemí – a každá dcera pak reaguje po svém.
Co se stalo
Ahold Delhaize veřejně oznámil bezpečnostní incident ve své počítačové síti 12. října a v rámci preventivních opatření odpojil některé systémy. Podrobnosti o příčině ani přesném rozsahu zatím neuvedl s tím, že se vše vyšetřuje. Podle vyjádření z minulého týdne skupina neměla důkazy o tom, že by útočníci získali data zákazníků, zaměstnanců nebo obchodních partnerů.
Albert o vypnutí aplikace informoval 13. října a ve čtvrtek potvrdil, že omezení potrvá déle než obvykle. Zákazníci si stěžují hlavně na to, že se přes aplikaci nedostanou k akčním cenám a nemohou uplatnit nasbírané body. Řetězec proto sáhl k dočasnému řešení: akční ceny promítl do nákupů všech zákazníků – i těch, kteří aplikaci vůbec nepoužívají.
V zahraničí to bylo horší
České potíže jsou ve srovnání se zbytkem skupiny mírné. Nizozemská sesterská síť Albert Heijn se potýkala s rozsáhlejším výpadkem online služeb a rozvozu nákupů. Podle Reuters mělo online doručování zůstat nedostupné nejméně do čtvrtka 22. října, což znamená minimálně jedenáct dní výpadku. V některých nizozemských prodejnách se v předchozích dnech objevily i problémy se zásobováním.
Zasažen byl také belgický řetězec Delhaize, ten ale rozvoz obnovil už o víkendu. Nizozemská síť v neděli znovu spustila přístup do aplikace, nejsou však dostupné všechny služby. Obnova tedy neprobíhá naráz, ale po částech – systém po systému, zemi po zemi.
Proč to platí i pro Česko
Rozdíl mezi Prahou a Amsterdamem ukazuje, jak zranitelné je maloobchodní podnikání ve chvíli, kdy se klíčové služby přesunou do digitálu. Dokud jde jen o věrnostní aplikaci, zákazník přijde o body a slevu – nepříjemné, ale snesitelné. Jakmile stejná infrastruktura řídí i online objednávky a rozvoz, výpadek znamená, že se zboží nedostane k lidem a tržby padají.
Pro české firmy je tu konkrétní ponaučení. Potravinové řetězce, logistika i rozvozové služby spadají mezi provozovatele důležitých služeb, na které v EU dopadá zpřísněná kyberbezpečnostní regulace – především směrnice NIS2, kterou Česko promítá do nové legislativy o kybernetické bezpečnosti pod gescí Národního úřadu pro kybernetickou a informační bezpečnost. Ta po velkých subjektech vyžaduje řízení rizik, zabezpečení dodavatelského řetězce a hlášení incidentů. Případ Ahold Delhaize je přesně ten scénář, kvůli kterému taková pravidla vznikají: jedna slabina v nadnárodní síti ohrozí provoz ve více zemích současně.
Zároveň stojí za povšimnutí, jak skupina komunikuje. Veřejné oznámení incidentu, preventivní odpojení systémů a opatrné formulace o tom, že se rozsah teprve vyšetřuje – to je dnes standardní postup, který evropská pravidla spíš vynucují než doporučují. Transparentnost se stává součástí krizového řízení, ne jeho nepřítelem.
Co dál
Hlavní otevřená otázka zní, co přesně se v síti stalo a zda opravdu zůstala zákaznická data netknutá. Dokud skupina nedokončí vyšetřování, zůstává i termín plného obnovení služeb nejistý. Pro zákazníky Albertu platí, že do krámu mohou dál bez obav a akční ceny dostanou i bez aplikace – bodové konto si ale budou muset počkat.
Širší otázka je ale zajímavější: když jediný incident dokáže na týdny vyřadit rozvoz ve vyspělé zemi, kolik dalších evropských řetězců by stejný útok ustálo lépe – a kolik hůř?