Gigantul în tehnologie medicală Stryker a confirmat luni că atacul cibernetic din 11 martie, care a paralizat operațiunile sale globale, a fost înăbușit, în timp ce compania continuă să lucreze „non-stop” pentru a restabili sistemele de comenzi și expedieri perturbate atunci când hackerii legați de Iran au transformat propriile instrumente de gestionare a dispozitivelor companiei în arme pentru a șterge zeci de mii de dispozitive ale angajaților din zeci de țări.
Atacul, revendicat de grupul de hackeri pro-iranian Handala, reprezintă una dintre cele mai distructive operațiuni cibernetice desfășurate vreodată împotriva unei mari corporații americane — și prima dată când grupul a vizat o întreprindere americană în loc de victimele sale obișnuite israeliene.
Cum s-a întâmplat
În cea mai recentă actualizare pentru clienți din 23 martie, Stryker a dezvăluit că, deși inițial a considerat că nu a fost implicat niciun malware, investigatorii de la Unit 42 al Palo Alto Networks au identificat ulterior „un fișier malițios” folosit de atacatori pentru a executa comenzi și pentru a-și ascunde activitatea în cadrul sistemelor companiei. Compania a subliniat că fișierul „nu era capabil să se răspândească” și că nicio activitate malițioasă nu a fost îndreptată către clienți, furnizori sau parteneri.
Conform BleepingComputer, atacatorii au compromis un cont de administrator Microsoft Intune și au creat un nou cont de Global Administrator, pe care l-au folosit apoi pentru a emite comenzi de ștergere la distanță care au eliminat datele de pe aproape 80.000 de dispozitive între orele 5:00 și 8:00 UTC pe 11 martie. Însăși Handala a susținut că au fost șterse peste 200.000 de dispozitive în 79 de țări, deși investigatorii au contestat mai multe afirmații ale grupului, inclusiv pretențiile acestuia despre exfiltrarea a 50 de terabytes de date.
Angajații din Irlanda, Statele Unite, Australia și India au descoperit laptopuri, telefoane și servere complet șterse, cu logo-ul Handala afișat pe ecranele de autentificare. Stryker a trimis acasă peste 5.000 de lucrători doar din operațiunile sale irlandeze și a închis birouri din întreaga lume. Atacul a perturbat procesarea comenzilor, producția și transportul — deși compania a menținut că dispozitivele sale medicale, inclusiv roboții chirurgicali Mako și defibrilatoarele LifePak, au rămas sigure pentru utilizare.
Contextul geopolitic și răspunsul SUA
Handala a prezentat atacul drept represalii pentru o lovitură cu rachete americană asupra unei școli din Minab, Iran, care a ucis peste 175 de persoane la începutul conflictului SUA-Iran de la sfârșitul lunii februarie 2026. Grupul, pe care cercetătorii în securitate cibernetică îl leagă de Ministerul Informațiilor și Securității din Iran, se concentrase anterior pe ținte israeliene înainte de a escalada către o companie americană majoră.
Departamentul de Justiție al SUA a acționat rapid, confiscând patru domenii folosite de Handala pentru a revendica atacurile informatice, a posta date furate și a emite amenințări cu moartea împotriva jurnaliștilor și dizidenților. DOJ a descris site-urile drept instrumente ale „schemelor de hacking și represiune transnațională” conduse de ministerul informațiilor din Iran. Handala a confirmat confiscările pe Telegram, numindu-le „o încercare disperată de a ne reduce la tăcere”, și ulterior a restabilit operațiunile pe un nou domeniu, conform Reuters.
Un nou tip de atac
“Aceasta este o situație de criză majoră,” a declarat pentru CBS Mornings fostul director CISA, Chris Krebs. “Este un semnal de alarmă pentru fiecare organizație.”
Analiștii de securitate cibernetică afirmă că incidentul reprezintă o schimbare în operațiunile cibernetice distructive. În loc să implementeze ransomware sau malware personalizat, atacatorii au folosit o tehnică de tip „living off the land” (folosirea resurselor existente), transformând propria infrastructură de gestionare cloud a Stryker într-o armă. Intune a funcționat exact conform proiectării — problema a fost modul în care fusese securizat accesul privilegiat la platformă. Raportările SEC ale Stryker au avertizat că impactul operațional și financiar complet rămâne necunoscut, chiar dacă „sistemele tranzacționale de bază sunt deja pe o cale clară spre recuperare completă.”
Surse: