Ahold Delhaize: hack kost 75 tot 100 miljoen winst

Ahold Delhaize heeft bij de presentatie van zijn derdekwartaalcijfers voor het eerst een bedrag gezet op de cyberaanval van oktober. Het concern achter Albert Heijn, Etos en Gall & Gall verwacht dat het incident de omzet in het vierde kwartaal met 200 tot 250 miljoen euro drukt, en de operationele winst met 75 tot 100 miljoen euro. Dat staat in het persbericht bij de kwartaalcijfers, dat woensdagochtend om 07:30 uur verscheen.

Minder winst, geen verlies

Het onderscheid is belangrijk: het gaat niet om een verlies van 75 tot 100 miljoen euro, maar om winst die zoveel lager uitvalt dan zonder de aanval het geval was geweest. Ahold Delhaize spreekt van "underlying and IFRS operating income" die met dat bedrag daalt, en rekent daar de kosten van de reactie op het incident nog niet eens in mee. Die komen er bovenop: uitgaven voor detectie, isolatie, opschonen, herstel en extra beveiliging, met volgens het bedrijf een marginaal effect op het IFRS-bedrijfsresultaat over 2026. Ze staan apart toegelicht onder "Subsequent events" in het interim-rapport.

Jaarverwachting drie keer omlaag

Het concern stelde meteen zijn verwachting voor heel 2026 bij. De onderliggende operationele marge gaat van "rond de 4,0 procent" naar "richting de 4,0 procent". De groei van de onderliggende winst per aandeel zakt van "mid- tot high-single-digit" naar "low-single-digit". En de vrije kasstroom gaat van "ten minste 2,3 miljard euro" naar "ongeveer 2,1 miljard euro".

Het derde kwartaal zelf lag nog vóór de aanval en zag er gewoon goed uit: 23,1 miljard euro omzet, 1,9 procent meer dan een jaar eerder tegen constante wisselkoersen, met een onderliggende operationele marge van 4,1 procent en een IFRS-bedrijfsresultaat van 976 miljoen euro. De onlineomzet groeide met 8,2 procent. Ahold Delhaize kondigde daarnaast een aandeleninkoopprogramma van 1 miljard euro aan dat begin 2027 start.

Waarom dit cijfer opvalt

Harde bedragen voor de schade van een cyberaanval zijn zeldzaam. Getroffen organisaties houden de kosten meestal binnenskamers, of komen pas jaren later met een schatting. Een beursgenoteerd concern dat zijn winstverwachting moet bijstellen heeft die ruimte niet: het moet de markt informeren, en dus kwantificeren. Daarmee is dit een van de weinige publieke, in een kwartaalrapportage vastgelegde prijskaartjes van een ict-uitval in de Nederlandse retail.

Het incident begon op zondagmiddag 11 oktober, meldt Albert Heijn in zijn eigen mediastatement. Albert Heijn, Etos en Gall & Gall schakelden toen preventief delen van hun ict-omgeving uit om de rest te beschermen. Websites, apps en bezorging lagen daardoor dagenlang plat en de bevoorrading van de winkels stokte. Volgens Ahold Delhaize zijn er geen klant- of personeelsgegevens buitgemaakt.