Un grupo de ransomware dejó fuera de línea durante días los sistemas de supermercados de Ahold Delhaize en EE. UU.

El 8 de noviembre de 2024, Ahold Delhaize USA —matriz de Stop & Shop, Hannaford, Food Lion, Giant Food y The Giant Company, con más de 2.000 tiendas— reveló un ciberataque y desconectó sistemas para contenerlo. Se cancelaron los pedidos de recogida y entrega porque los empleados no podían ver lo que se había pedido; algunas farmacias no podían atender llamadas; el sitio web y la aplicación de Hannaford siguieron caídos hasta una segunda semana. Las tiendas permanecieron abiertas y siguieron aceptando tarjetas, pero la interrupción llegó justo antes de la temporada de compras navideñas en EE. UU.

Semanas después, la empresa confirmó que se habían robado archivos, después de que un grupo rastreado como Inc Ransom afirmara en su sitio de filtraciones tener hasta 6 TB de datos de la división estadounidense, según investigadores de Arctic Wolf. Según presentaciones estatales posteriores, los intrusos ya habían llegado a una de sus bases de datos el 5 y 6 de noviembre, días antes de la revelación pública. La agitación en torno al incidente resultó incómoda: el negocio estadounidense acababa de incorporar a una nueva CIO, Ann Dozier, tras dos años de cambios en la dirección de TI.

En 2025 apareció la factura completa. La presentación de la fiscalía general de Maine cifró la exposición en alrededor de 2,2 millones de personas —empleados actuales y anteriores, dependientes y beneficiarios, incluidos aproximadamente 100.000 habitantes de Maine— con fechas de nacimiento, números de Seguro Social, datos bancarios, historiales médicos y datos de compensación laboral. La empresa dijo que no creía que se hubieran visto afectados los sistemas de pago de clientes ni los de farmacia: la contención protegió las tarjetas de los compradores, mientras que los datos robados eran en su mayoría sobre la plantilla.

Días de cancelaciones de recogida/entrega y sistemas de farmacia caídos en más de 2.000 tiendas; hasta 6 TB que se afirma fueron robados; registros de 2,2 millones de personas expuestos.

La intrusión duró días antes de ser detectada: los atacantes llegaron a una base de datos de personal el 5 y 6 de noviembre, antes de la revelación del 8 de noviembre.

La contención implicó desconectar el comercio electrónico y partes de la farmacia, cambiando ingresos y confianza de los clientes por seguridad sin un modo degradado preconstruido.

La recuperación dependió de soluciones manuales, por lo que las cancelaciones y la comunicación con los clientes se retrasaron y los cargos pendientes permanecieron en las cuentas bancarias.

La reciente rotación en la dirección de TI dejó sin resolver la titularidad de los controles de acceso heredados en el peor momento posible.

El apagón preventivo contiene un ataque pero lo convierte en una interrupción de servicio visible: la planificación de resiliencia debe prever cómo experimentan los clientes la contención, no solo la brecha.

Todas las tiendas de EE. UU. permanecieron abiertas durante la interrupción, y el sitio y la aplicación de Hannaford seguían caídos a principios de la semana siguiente. En diciembre de 2024, Ahold Delhaize confirmó que se habían robado datos después de que Inc Ransom amenazara con publicarlos; se notificó a las autoridades y se contrató a forenses externos. A lo largo de 2025, la empresa notificó a alrededor de 2,2 millones de empleados actuales y anteriores y a sus familias, y dijo que no había encontrado indicios de que los sistemas de pago de clientes o de farmacia se hubieran visto comprometidos: la contención resistió donde importaba, a costa de una interrupción de servicio muy pública.