Na Binance en Albert Heijn: waarom een hack voor iedereen vooral een kwestie van tijd is

Binnen drie weken tijd werden twee bedrijven getroffen die je als vrijwel onaantastbaar zou kunnen beschouwen. De grootste cryptobeurs ter wereld verloor miljarden in minder tijd dan een lunchpauze. En de grootste supermarktketen van Nederland had dagenlang lege schappen, en een online winkel die offline was. Dat roept een ongemakkelijke vraag op: als bedrijven met beveiligingsbudgetten van deze omvang kwetsbaar zijn, hoe veilig ben jij dan als consument, als mkb’er of als multinational? Het eerlijke antwoord is dat "veilig" de verkeerde maatstaf is. De echte vraag is hoe lang het duurt voordat iemand binnenkomt, wat voor schade ze aan kunnen richten en hoe snel je weer up-and-running bent.

Eerst de feiten. Op 29 oktober 2026 haalde een aanvaller ongeveer 6,36 miljard dollar weg uit Binance-wallets op tien blockchains, waaronder Ethereum, Bitcoin, Tron, Solana en Polygon. Het grootste deel verdween in ongeveer twintig minuten, waarmee dit de grootste cryptodiefstal ooit is: ongeveer vier keer zo groot als de hack van 1,5 miljard dollar bij Bybit in februari 2025. Ter vergelijking: cybercriminelen stalen in heel 2025 samen 2,87 miljard dollar aan crypto bij bijna 150 incidenten. Eén aanval was dus ruim twee keer zo groot als een volledig jaar.

Het startpunt was opvallend alledaags. Volgens Binance verliep de hack via de laptop van een engineer, “waardoor een aanvaller toegang kreeg tot een servicecontainer”, schrijft CNN, waarna ongeautoriseerde opnames konden worden ingediend. Analysebedrijven wijzen naar Noord-Korea. Chainalysis-topman Jonathan Levin acht het waarschijnlijk dat de groep TraderTraitor erachter zit, en TRM Labs ziet overeenkomsten met eerdere Noord-Koreaanse aanvallen, waaronder voorbereidingen die ruim van tevoren waren getroffen. Binance heeft inmiddels zo’n 3 miljard dollar laten bevriezen en belooft alle verliezen te dekken. Toch daalde bitcoin met 4 procent tot 77.465 dollar en zei Kevin March van JPEG Trading tegen Axios dat het bij “elk ander cryptobedrijf dan Binance catastrofaal zou zijn geweest”.

Albert Heijn kende een heel ander scenario. De problemen begonnen op zondag 11 oktober, toen Albert Heijn een deel van zijn IT-systemen uitschakelde, waardoor thuisbezorging en werk in distributiecentra stillagen en sommige winkels lege schappen hadden. Ook Etos en Gall & Gall werden geraakt. Moederbedrijf Ahold Delhaize sprak lang alleen van een ‘cybersecurityincident’, maar bevestigde op 19 oktober bij de aangifte dat de verdachte activiteit was veroorzaakt door kwaadwillenden. De schade is fors: retailexperts schatten op dat Albert Heijn 120 tot 150 miljoen euro aan omzet misliep. Een groot deel van het voedsel dat niet kon worden bezorgd, ging naar voedselbanken, en klanten met geannuleerde bestellingen krijgen 10 euro tegoed.

Er is ook goed nieuws. Ahold Delhaize zegt tot nu toe geen bewijs te hebben gevonden dat gevoelige gegevens van klanten, medewerkers of partners zijn buitgemaakt. En dat de systemen zo snel offline gingen, laat zien dat er een draaiboek klaarlag. Het verschil tussen een vervelende week en een maandenlange crisis zit vaak in precies dat moment.

Voor grote bedrijven zijn beide cases een les in nederigheid. Binance is een van de best beveiligde financiële partijen ter wereld en heeft alle reden om paranoïde te zijn. Toch was één gecompromitteerde laptop genoeg. Dat is geen onkunde, dat is de realiteit van aanvallers met staatssteun, geduld en maanden voorbereidingstijd. Een staatsgroep die het op jou gemunt heeft, komt vroeg of laat binnen. Beveiligingsprofessionals werken daarom al jaren met het uitgangspunt ‘assume breach’: ga ervan uit dat iemand al binnen is en richt je systemen zo in dat hij weinig kan.

Bij Binance kon een toegang via een werkplek leiden tot het ondertekenen van opnames die er voor de blockchain uitzagen als gewone transacties. Bij Albert Heijn liep een probleem in de IT door tot in de distributiecentra en uiteindelijk tot lege schappen. Beide laten zien dat het echte risico zit in hoe sterk systemen met elkaar verweven zijn. Wie dat niet kan ontvlechten, ziet een incident op één plek uitgroeien tot een stilstand van het hele bedrijf.

Daar komt nu ook wetgeving bij. De Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden en verplicht organisaties in essentiële en belangrijke sectoren tot een zorgplicht en meldplicht. De hack bij Albert Heijn is een van de eerste grote incidenten sinds die nieuwe meldwet geldt. Cybersecurity is daarmee niet langer alleen iets voor de IT-afdeling, maar een verantwoordelijkheid van het bestuur.

Wie denkt dat hij te klein is om interessant te zijn, kan geruststellende en verontrustende cijfers vinden. Volgens het CBS werd in 2016 nog gemiddeld 11 procent van de bedrijven getroffen door minstens één cyberincident van buitenaf, tegen 4 procent in 2024. Toch blijft vooral het mkb kwetsbaar. Grote bedrijven worden vaker getroffen door ransomware, maar ze investeren ook meer in back-ups, monitoring en incidentrespons.

Dat verschil zie je ook bij verzekeringen. Volgens de Cybersecuritymonitor 2025 van het CBS is in de financiële dienstverlening 40 procent van de bedrijven verzekerd tegen cyberrisico’s, terwijl dat in de bouw, het vervoer en de horeca slechts 12 procent is. Voor een mkb’er zonder verzekering, zonder offline back-up en zonder herstelplan kan een week stilstand fataler zijn dan 150 miljoen euro omzetverlies voor Albert Heijn.

Een kleine onderneming zal niet snel het doelwit zijn van een Noord-Koreaanse hackersgroep. De grotere dreiging is massale, geautomatiseerde criminaliteit: phishingmails, gestolen wachtwoorden, nepfacturen en ransomware die zonder onderscheid toeslaat. Het mkb is daarbij ook interessant als opstap. Wie leverancier is van een groter bedrijf, kan de achterdeur zijn waarlangs aanvallers bij die grotere partij binnenkomen. Juist daarom stellen bedrijven die onder de Cyberbeveiligingswet vallen steeds vaker eisen aan hun leveranciers.

Voor consumenten liggen de risico’s anders. Geen enkele hackersgroep besteedt maanden aan het kraken van je laptop. Dat hoeft ook niet, want de schaal maakt het werk. In 2024 gaf 16 procent van de Nederlanders van 15 jaar of ouder aan in de voorgaande twaalf maanden slachtoffer te zijn geweest van online criminaliteit, het vaakst van oplichting en fraude. Dat is ongeveer één op de zes.

Daarnaast word je indirect geraakt wanneer grote bedrijven worden gehackt. Bij Albert Heijn merkte je dat aan geannuleerde bestellingen en een Bonuskaart die niet werkte. Bij Binance merkten handelaren dat ze tijdelijk niet bij hun geld konden. Wie crypto op een centrale beurs bewaart, vertrouwt erop dat die beurs het goed regelt. Marktexpert Sean Foley van Macquarie University: “hoe groter de bezittingen van een beurs, hoe groter het doelwit”.

Bovendien is een groot incident altijd een cadeautje voor oplichters. Na een hack volgen vrijwel altijd phishingberichten die zogenaamd namens het getroffen bedrijf compensatie aanbieden of vragen je gegevens te ‘verifiëren’. Wie in de komende weken een mail krijgt over een Albert Heijn-tegoed of een Binance-vergoeding, doet er goed aan die niet via de link te openen maar zelf naar de app of website te gaan.

Is het dus een kwestie van tijd voordat je aan de beurt bent? Voor multinationals vrijwel zeker, voor mkb’ers steeds waarschijnlijker en voor consumenten eigenlijk al dagelijks, in de vorm van pogingen die je inbox en telefoon bereiken. Maar ‘aan de beurt zijn’ betekent niet automatisch dat het misgaat. Het verschil zit in de gevolgen. Een gestolen wachtwoord is een probleem, maar met tweestapsverificatie meestal geen ramp. Een ransomware-aanval is pijnlijk, maar met een offline back-up overleefbaar. En een bedrijf dat binnen een paar uur zijn systemen weet te isoleren, beperkt de schade tot een paar slechte weken.

De twee grootste incidenten van deze maand laten vooral zien dat beveiliging nooit een eindtoestand is. Binance had alles op orde en verloor toch miljarden via één werkplek. Albert Heijn had een draaiboek en zat toch twee weken met lege schappen en gefrustreerde klanten. De vraag voor ieder bedrijf en iedere consument is daarom niet langer hoe je een hack voorkomt, maar hoe je ervoor zorgt dat een aanvaller zo weinig mogelijk kan meenemen of kapotmaken als hij eenmaal binnen is.