Binnen een paar dagen kwamen drie bekende namen in het nieuws met digitale problemen. Albert Heijn zette zondag systemen uit na wat het een cybersecurity-incident noemt, waardoor bezorging, website en app maandag stillagen. Reisorganisatie TUI bevestigde in België een datalek, terwijl klanten nepberichten kregen met hun eigen hotel en reisdatum. En Air France-KLM bevestigde onbevoegde toegang tot interne mappen, nadat een hackersgroep een datalek claimde. Het is verleidelijk om daar één grote aanval in te zien. Wie de bronnen naast elkaar legt, ziet vooral iets anders: hoe afhankelijk bedrijven, ook in de luchtvaart, zijn geworden van digitale systemen en van een klein aantal leveranciers. Dit stuk zet op een rij wat er bevestigd is, wat niet, en wat eerdere incidenten in de luchtvaart leren.

Wat er deze week bevestigd is

Albert Heijn schrijft in een verklaring dat het sinds zondagmiddag 11 oktober te maken heeft met een "cybersecurity incident" bij Albert Heijn, Etos en Gall & Gall. Het bedrijf heeft volgens die verklaring "preventief" een aantal systemen uitgeschakeld. Websites, apps en klantenservice waren maandag niet beschikbaar en alle geplaatste online bestellingen zijn geannuleerd. De winkels bleven open en de kassa's werkten. Moederbedrijf Ahold Delhaize meldde maandagochtend een "security issue" in zijn netwerk en zei dat het systemen offline haalt om ze te beschermen. Tegen de NOS bevestigde Albert Heijn dat in sommige distributiecentra het werk volledig stillag. Of kwaadwillenden de systemen zijn binnengedrongen, kon het bedrijf nog niet zeggen. Ook Delhaize in België nam volgens de VRT maatregelen om zijn systemen te beschermen, en websites van Amerikaanse ketens van het concern, zoals Food Lion en Stop & Shop, waren maandag uit de lucht, meldde Grocery Dive. De politie staat in contact met Albert Heijn, maar heeft volgens een woordvoerder "tot op dit moment nog geen strafbaar feit vastgesteld", meldde het ANP.

Een hack, een dader of diefstal van gegevens heeft Ahold Delhaize niet bevestigd. Over persoonsgegevens zegt Albert Heijn alleen dat de bescherming van gegevens van klanten, medewerkers en partners "voorop" staat. Media en deskundigen spreken van een vermoedelijke hack, maar dat is hun inschatting. Een groep die de aanval opeist, vonden wij niet.

Bij TUI ligt het anders. Het bedrijf bevestigde tegenover HLN en VTM Nieuws een datalek, maar weet nog niet hoeveel klanten zijn getroffen en welke gegevens zijn buitgemaakt. Of de WhatsApp-berichten met naam, hotel en reisdatum die Belgische klanten kregen uit dat lek komen, is niet bevestigd. Nederlandse klanten lijken volgens TUI niet geraakt; voor zover het bedrijf nu kan zien, speelt het incident alleen in België. Wij schreven daar eerder over in ons artikel over het datalek bij TUI.

Air France-KLM bevestigde tegenover de Britse krant City AM dat IT-teams "onlangs" onbevoegde toegang hebben ontdekt tot interne mappen, ondanks verplichte meerstapsverificatie. Die mappen bevatten volgens het concern "in dit stadium" geen gevoelige gegevens, klanten zijn niet geraakt en de bevoegde autoriteiten zijn ingelicht. De claim komt van Xuanye Group, de groep die zegt achter de hack bij webwinkel Asos te zitten. Air France-KLM noemt die groep zelf niet. Meer daarover leest u in ons artikel over Air France-KLM en Xuanye Group.

Is er een verband?

Op basis van wat nu openbaar is: nee, of in elk geval niet aantoonbaar. Geen enkele bron die wij hebben gelezen, legt een gemeenschappelijke dader of methode tussen Albert Heijn, TUI en Air France-KLM. Alleen bij Air France-KLM is er een claim van een groep. Bij Albert Heijn is de toegangsweg onbekend. Bij TUI is niet eens bevestigd dat de eigen systemen zijn gehackt. Een woordvoerder van Ahold Delhaize zei tegen persbureau Reuters, meldde de NOS, dat er geen reden is om een verband te zien met een gelijktijdige aanval op Franse supermarkten. Dat drie incidenten kort na elkaar vallen, is op zichzelf geen aanwijzing voor een gezamenlijke dader.

Een patroon dat de luchtvaart kent

De luchtvaart heeft een lange lijst incidenten waarin een digitale storing of inbraak passagiers raakte. Een selectie, met wat toezichthouders en de bedrijven zelf vaststelden:

De zwakke plek ligt vaak buiten het eigen netwerk

Wie de lijst leest, ziet hoe vaak de ingang niet bij de airline zelf lag. De aanval in september 2025 was niet gericht op een luchthaven of maatschappij, maar op Collins Aerospace, de leverancier van de software MUSE waarmee luchthavens passagiers laten inchecken en bagage afgeven. Moederbedrijf RTX meldde aan de Amerikaanse beurswaakhond dat het om ransomware ging en dat klanten terugvielen op "back-up or manual processes". Brussels Airport vroeg maatschappijen om op maandag 22 september de helft van hun 276 vertrekkende vluchten te schrappen. De Britse National Crime Agency arresteerde een verdachte, maar het onderzoek liep volgens de NCA nog. Schiphol en Rotterdam The Hague Airport hadden volgens ANP geen last van de aanval.

Ook bij de datalekken van 2025 ging het om platforms van derden. Air France en KLM spraken in augustus 2025 van ongewone activiteit op "een extern platform" voor klantenservice; de eigen systemen waren volgens de maatschappijen niet geraakt. Qantas meldde dat een cybercrimineel een callcenter benaderde en toegang kreeg tot een klantenserviceplatform van een derde partij. Volgens de Google Threat Intelligence Group richtte een groep die het UNC6040 noemt zich in die periode op Salesforce-omgevingen van bedrijven, door medewerkers te bellen en ze een aangepaste versie van een Salesforce-tool te laten koppelen. Google benadrukt dat de aanvallers "relied on manipulating end users, not exploiting any vulnerability inherent to Salesforce". De FBI waarschuwde er in september 2025 voor. Dat het KLM-lek bij dit cluster hoort, meldde BleepingComputer; Air France-KLM heeft dat niet bevestigd.

De grote jaarrapporten laten hetzelfde beeld zien. In het Data Breach Investigations Report 2026 van Verizon was bij 48 procent van de onderzochte datalekken een derde partij betrokken, tegen 30 procent een jaar eerder. IBM noemt in zijn Cost of a Data Breach Report 2026 een gecompromitteerde toeleveringsketen de op een na meest voorkomende ingang, na phishing. ENISA, het Europese cyberagentschap, ziet dat criminelen steeds vaker externe dienstverleners aanvallen, "highly likely as an opportunity to optimise the efficiency of their attacks". Directeur Juhan Lepassaar zei bij de presentatie van het ENISA-rapport dat de analyse laat zien "hoe dreigingen steeds meer met elkaar verweven raken" en hoe groepen hun impact spreiden over digitale diensten en infrastructuur (onze vertaling).

Geen hack, toch aan de grond

Afhankelijkheid is niet alleen een risico als er een aanvaller is. Op 19 juli 2024 bracht CrowdStrike een update uit voor zijn beveiligingssoftware. Door een fout in die update liepen volgens Microsoft 8,5 miljoen Windows-apparaten vast. CrowdStrike schreef zelf: "This issue is not the result of or related to a cyberattack." KLM staakte die dag de operatie grotendeels, meldde NH Nieuws. Het voorbeeld laat zien dat één leverancier met toegang tot heel veel systemen een wereldwijde storing kan veroorzaken. Op 19 en 20 oktober 2025 duurde een storing in de regio Noord-Virginia van Amazon Web Services ruim veertien uur. AWS wijst als oorzaak een fout in het DNS-beheer van de eigen databasedienst DynamoDB aan.

Het Cybersecuritybeeld Nederland 2025 van de NCTV wijst op hetzelfde risico. Volgens dat rapport is 70 tot 80 procent van de Europese markt voor clouddiensten in handen van Amerikaanse bedrijven. "Door grootschalige concentratie kan een single point of failure ontstaan. Een storing of cyberincident kan wereldwijde doorwerking krijgen", schrijft de NCTV. Esther van Beurden, directeur Cybersecurity, Weerbaarheid Statelijke Dreigingen en Analyse Nationale Veiligheid bij de NCTV, zei bij de presentatie: "Ook heeft geopolitiek invloed op onze digitale afhankelijkheden waardoor die risicovol kunnen worden."

De mens blijft de eerste ingang

Een terugkerend element is dat aanvallers mensen bellen, mailen of appen in plaats van in te breken via techniek. Bij Asos deed een aanvaller zich volgens het bedrijf voor als vertrouwd contact om een medewerker inloggegevens te laten afgeven. Bij Qantas was het een telefoontje naar een callcenter. Volgens Verizon speelde het menselijk element een rol bij 62 procent van de datalekken. Binnen de aanvallen met social engineering is phishing volgens ENISA nog altijd de meest gebruikte methode, met 77,8 procent. Bij TUI zie je de keerzijde: wie klantgegevens in handen krijgt, kan berichten sturen die geloofwaardig zijn omdat ze kloppen.

Kunstmatige intelligentie maakt dat makkelijker. IBM meldt dat ruim een op de vier organisaties met een kwaadwillende inbraak zegt dat de aanval door AI werd aangedreven, vooral met deepfakes waarmee iemand werd nagebootst en met door AI ondersteunde malware. Microsoft schrijft in zijn Digital Defense Report 2026 dat AI social engineering kan automatiseren en taal- en vaardigheidsdrempels wegneemt. Dezelfde techniek helpt verdedigers ook: organisaties die AI en automatisering veel inzetten, hadden volgens IBM gemiddeld 65 dagen minder nodig om een inbraak af te handelen en 1,93 miljoen dollar lagere kosten. Het gemiddelde datalek kostte volgens IBM wereldwijd 4,99 miljoen dollar, een record.

Ook de luchtvaart zelf is doelwit. Volgens gegevens van EASA die ENISA aanhaalt, waren er in 2025 minstens tien ransomware-aanvallen op de luchtvaartsector in de EU. Transport was goed voor 8 procent van alle incidenten die het agentschap vastlegde.

In de cockpit: storing van buitenaf

Voor piloten is het zichtbaarste digitale risico op dit moment geen datalek, maar verstoring van satellietnavigatie. Bij jamming wordt het GNSS-signaal overstemd, bij spoofing krijgt de ontvanger een valse positie of tijd. EASA bracht op 3 juli 2026 de vierde revisie uit van zijn Safety Information Bulletin hierover. Het probleem speelt volgens EASA vooral rond conflictgebieden, zoals het zuiden en oosten van de Middellandse Zee, de Zwarte Zee, het Midden-Oosten, de Oostzee en het Noordpoolgebied. Spoofing is volgens EASA lastiger te herkennen dan jamming en daarom riskanter. EASA noemt onder meer onterechte "PULL UP"-waarschuwingen van het terreinwaarschuwingssysteem. De luchtvaartautoriteit adviseert maatschappijen om bemanningen te trainen in het herkennen van zulke storingen, posities te controleren met andere navigatiemiddelen en meldingen te doen. Volgens IATA nam het aantal gevallen van verlies van het GPS-signaal tussen 2021 en 2024 met 220 procent toe.

In het vliegtuig zelf gelden al jaren ontwerpeisen tegen digitale inmenging. Sinds de Boeing 787 stelt de Amerikaanse FAA bij elk nieuw certificatieproject voor een verkeersvliegtuig speciale voorwaarden voor de beveiliging van boordnetwerken. In die voorwaarden staan bijvoorbeeld aparte domeinen voor de vliegtuigbesturing, de systemen van de maatschappij en het entertainment voor passagiers. EASA nam in 2020 een eis op in de certificatieregels voor grote verkeersvliegtuigen: systemen en netwerken moeten beschermd zijn tegen "intentional unauthorised electronic interactions" die de veiligheid kunnen raken. De FAA stelde in augustus 2024 een vergelijkbare vaste regel voor. Een definitieve versie daarvan hebben wij niet gevonden.

Wat de regels nu eisen

Sinds kort hebben luchtvaartbedrijven in Europa ook een algemene plicht om informatiebeveiliging te organiseren. Die regels heten Part-IS. Voor ontwerp- en productieorganisaties en luchthavens gelden ze sinds 16 oktober 2025 (Verordening 2022/1645). Voor onder meer luchtvaartmaatschappijen, onderhoudsbedrijven, vliegscholen en luchtverkeersleiding gelden ze sinds 22 februari 2026 (Verordening 2023/203). Organisaties moeten een managementsysteem voor informatiebeveiliging opzetten en ernstige incidenten binnen 72 uur melden. In Nederland houdt de ILT toezicht op Part-IS; ontwerporganisaties vallen direct onder EASA. Grondafhandelaars volgen in 2031.

Daarnaast geldt sinds 15 augustus 2026 de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Luchtvaartmaatschappijen, luchthavens en luchtverkeersleiding vallen eronder. Bij een significant incident moeten ze binnen 24 uur een vroege waarschuwing geven en binnen 72 uur een melding doen. Het toezicht in de luchtvaart ligt bij de ILT. Het Nationaal Cyber Security Centrum (NCSC) voert de rol uit van CSIRT, het team dat meldingen ontvangt en bij incidenten ondersteunt. Gaat het om persoonsgegevens, dan geldt daarnaast de AVG: een datalek moet binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens worden gemeld. Wereldwijd heeft de VN-luchtvaartorganisatie ICAO sinds 2019 een cyberstrategie en sinds 2020 een actieplan, waarvan de tweede editie in januari 2022 verscheen.

Regels voorkomen geen aanvallen. Ze dwingen wel af dat bedrijven weten welke systemen kritiek zijn, wie hun leveranciers zijn en wat ze doen als het misgaat. De incidenten van de afgelopen dagen moeten nog worden uitgezocht. Wat ze nu al laten zien: het risico zit minder in één spectaculaire hack en meer in de vele schakels waar een bedrijf van afhankelijk is.

Wat moet je doen?

Krijg je bericht dat je gegevens zijn gelekt, of krijg je een verdacht bericht over je reis of boodschappen? Deze stappen komen uit de adviezen van de Autoriteit Persoonsgegevens, veiliginternetten.nl, de Fraudehelpdesk en de maatschappijen zelf.

• Wijzig de wachtwoorden die mogelijk gelekt zijn en zet tweestapsverificatie aan waar dat kan, adviseert de Autoriteit Persoonsgegevens.
• Klik niet op links in onverwachte berichten, ook niet als je eigen naam, hotel of reisdatum erin staat. Dat iemand je gegevens kent, betekent niet dat het bericht echt is.
• Kijk bij een mail naar de domeinnaam achter het @-teken. KLM noemt op zijn site onder meer adressen die eindigen op @klm.com, @klm-mail.com en @airfrance-klm.email. Een verdachte mail die zich voordoet als KLM kun je als bijlage doorsturen naar [email protected].
• Betaal nooit via een link of naar een rekeningnummer uit een onverwacht bericht. TUI schrijft dat het klanten nooit vraagt een geboekte reis op een rekeningnummer te betalen.
• Twijfel je? Neem zelf contact op met het bedrijf via de website of app, niet via de gegevens in het bericht.
• Meld oplichting bij de Fraudehelpdesk (088-786 73 72) en doe aangifte bij de politie als je geld kwijt bent. Bel bij een betaling meteen je bank.