Cisco Talos evalúa que el reciente ataque cibernético a la empresa de equipos médicos Stryker probablemente representó una compromise opportunista más que un cambio sistémico hacia el targeting específico del sector sanitario. No obstante, el marco amenazante global permanece elevado debido a las operaciones militares en curso en Irán, lo cual requiere mayor vigilancia y capacidades defensivas incrementadas entre todas las organizaciones contra actividad cibercriminal destructiva.
Se proporcionan hallazgos clave y el contexto sobre Handala, un grupo de amenaza vinculado a Irán. Talos no ha observado un aumento reciente en targeting sistemático o elevado del sector sanitario o sectores adjuntos al sector sanitario sobre otros sectores industriales. El grupo es conocido por operaciones cibernéticas disruptivas y destructivas bajo el pretexto de activismo pro-palestino y pro-iraniense, combinando actividades de hacktivistas de nivel básico con técnicas sofisticadas, incluyendo malware wiper de fabricación propia y usurpación de herramientas administrativas.
A pesar de este análisis, Stryker fue objeto de un ataque cibernético reclamado por Handala el 11 de marzo de 2026. El grupo afirma haber llevado a cabo un ataque destructivo con malware wiper para borrar datos de más de 200,000 sistemas —incluyendo servidores, laptops y dispositivos móviles de empleados— e incluso exfiltrar 50 terabytes de información sensible en respuesta a acciones militares recientes en Irán. Aunque Stryker ha reconocido una 'interrupción global del entorno Microsoft' y está trabajando con socios de seguridad para restaurar el acceso, informes de sus principales hubs indican que el ataque ha paralizado efectivamente la producción y las funciones administrativas, con muchos empleados bloqueados en sus dispositivos.
Cisco Talos evalúa que el ataque probablemente fue ejecutado comprometiendo cuentas administrativas de alto nivel, basándose en la identificación de cientos de credenciales robadas de Stryker en la web oscura. Los actores del riesgo probablemente lograron acceder al consolode gestión Microsoft Intune de Stryker y usaron su característica nativa de borrado remoto para simultáneamente reiniciar dispositivos corporativos conectados. Esta técnica 'vivir off the land' les permitió causar destrucción y pérdida de datos a gran escala, posiblemente sin necesidad de malware wiper tradicional.