Oktober 2026 kreeg op X de naam Black October. We lopen de maand door: de aanval op Albert Heijn, het PHP-lek dat DigiD en de Tweede Kamer offline zette, supermarktkoelingen op ontdooistand, de ballerina-truc op WhatsApp en AI aan beide kanten van het front. In deze aflevering • De tijdlijn van oktober, van de AI-stemfraude tot Binance • Albert Heijn: systemen op 11 oktober uit voorzorg uit, twaalf dagen geen bezorging, lege schappen, pas op 19 oktober aangifte na aandringen van politie, OM en minister Van Weel. De oorzaak is nog steeds niet bekend. Woensdag 4 november komen de kwartaalcijfers van Ahold. • PHP2Shell: twee fouten die sinds 2012 in PHP zaten, met AI gevonden door vier partijen. Waarom de patch vervroegd werd en waarom op 21 oktober DigiD, MijnOverheid, de Tweede Kamer, het NCSC zelf en zo'n 100 gemeenten offline gingen. Rob haalde de bedrijfswebsite zelf offline. • Koelingen op ontdooistand: eerst honderden Franse supermarkten (11 okt), vannacht tientallen Delhaize-winkels, Carrefour België, ICA en Coop in Zweden en minstens zeventien Nederlandse slagers en buurtwinkels. • De ballerina-truc: hoe een stemverzoek voor een "buurmeisje" een extra gekoppeld apparaat in je WhatsApp zet. • AI in de aanval: de LiteLLM-masterkey die gewoon in GitHub stond, modellen zonder guardrails op het dark web, en Robs stelling dat je nooit één maatregel moet nemen maar vier of vijf. Nuances bij wat we zeiden • De koelingen: niet de servers van de fabrikant zijn gehackt. De Danfoss-regelaars zelf hingen rechtstreeks aan internet, met een standaardwachtwoord. Danfoss adviseerde op 13 oktober al om ze los te koppelen; de winkels die dat niet deden, zijn nu geraakt. • Een verband tussen de koelingenhacks en Albert Heijn is een gerucht. Ahold en het NCSC zagen in oktober geen verband, NOS meldt dat daar ook nu geen bewijs voor is. Delhaize onderzoekt het wel. • De 150 miljoen is een schatting van experts (gemiste omzet), geen cijfer van Ahold. Eerdere schattingen van 10 tot 21 miljoen bleken veel te laag. • WhatsApp: Instellingen, Gekoppelde apparaten. Log alles uit wat je niet herkent. Voer nooit een koppel- of sms-code in op een website. • Zet tweestapsverificatie of een passkey aan, overal waar het kan. • Loop je apparaten langs: wat hangt er aan internet zonder dat het nodig is? Printer, koeling, NAS. Bronnen NOS liveblog 21 oktober over PHP2Shell: https://nos.nl/liveblog/2636066 NOS, koelsystemen in Nederland aangevallen (2 nov): https://nos.nl/artikel/2637734 PHP Foundation versus Chainguard (Socket): https://socket.dev/blog/php-embargo-dispute Wiz Research over PHP2Shell: https://www.wiz.io/blog/php2shell-php-rce Ahold Delhaize, verklaring van 19 oktober: https://newsroom.aholddelhaize.com/ahold-delhaize-update-on-status-of-cybersecurity-incident/ Fraudehelpdesk over de ballerina-truc: https://www.fraudehelpdesk.nl/alert/valse-appjes-over-stemmen-op-ballerina/ NL Times, experts schatten de schade voor AH op 150 miljoen: https://nltimes.nl/2026/10/20/cyberattack-attempt-cost-albert-heijn-eu150-million-experts-say FBI over Binance: https://www.fbi.gov/investigate/cyber/alerts/2026/north-korea-responsible-for-6-billion-binance-attack