Polisen ber Ahold Delhaize anmäla cyberattacken mot Albert Heijn

Nederländsk polis och åklagarmyndigheten uppmanar nu offentligt Ahold Delhaize, moderbolag till Albert Heijn, att anmäla det så kallade it-angrepp som stört bolagets system sedan söndagsnatten. Ingen förunderskning pågår — och ingen kan inledas, eftersom åklagarna inte får öppna ett ärende förrän den drabbade själv anmäler.

Bolaget har fullgjort de skyldigheter lagen faktiskt ställer. Det anmälde händelsen till nationella it-säkerhetscentret, som kravet lyder. Men polisanmälan — det dokument som sätter utredarna i rörelse — har inte lämnats in, och Ahold Delhaize har inte förklarat varför. På onsdagen gick polisen ut offentligt och uppgav att man varit i kontakt med bolaget, "bjudit in" det att anmäla, och konstaterade att "för att kunna spåra och lagföra gärningspersoner är det avgörande att snabbt få information från de drabbade".

Väntan kostar pengar. Branschkällor har till Financieele Dagblad, anonymt, uppskattat krisens kostnad till tiotals miljoner euro per dygn; Ahold menar att det är för tidigt att siffror. Grönsaksdiskarna på Albert Heijn var delvis tomma, webbplatsen och appen tog fortfarande inga beställningar på torsdagskvällen, och angreppet drabbade även apotagskedjan Etos, spritkedjan Gall & Gall, Delhaizes butiker i Belgien samt Stop & Shop och Food Lion i USA. Samma helge utsattes hundratals matvarubutiker i Frankrike för ett separat angrepp. Polisen uppger att servrar i USA, Polen, Moldavien och Turkiet använts, men varnar för att trafik via dessa länder säger lite om var angriparna egentligen befinner sig. Bolaget uppger att inget tyder på att kund- eller personaldata berörts.

Polisens uttalande vidgade perspektivet bortom en enda handelskedja: "Vi kan inte längre se it-brottslighet som en samling enskilda brott, utan som en kriminell ekosystem... Bakom nästan varje angrepp ligger en kedja av samarbetande gärningspersoner, resurser och kriminella tjänster." Att kartlägga den kedjan börjar med att ett företag väljer att lämna över information det lika gärna kan behålla för sig självt.

Här syns en intressant incitamentsstruktur. Ett bolag som Ahold Delhaize bär själv kostnaderna för angreppet — förlorad försäljning, skadat förtroende, utredningens tidsöd — och har därför skäl att hantera krisen internt, helst utan att polisen gräver i system och rutiner som bolaget helst inte vill ha offentligt granskade. Staten däremot behöver anmälan för att ens kunna börja arbeta, men har inget verktyg att tvinga fram den. Skyldigheten att anmäla till it-säkerhetscentret är reglerad; skyldigheten att anmäla brott är det inte. Resultatet är att den offentliga utredningen står stilla medan miljontals euro förbränns per dygn.

På torsdagskvällen var Albert Heijns distributionscentraler igång igen och leveranser av hållbara varor hade återupptagits helt. Anmälan som skulle låta polisen börja sitt arbete hade fortfarande inte lämnats in.