La violazione di Stryker negli Stati Uniti potrebbe essere iniziata con credenziali rubate

Nuovi rapporti suggeriscono che il cyberattacco che ha messo in crisi il gigante della tecnologia medica Stryker potrebbe essere iniziato con credenziali raccolte da un malware infostealer piuttosto che da un exploit software.

SecurityWeek ha riferito il 18 marzo che Hudson Rock CTO Alon Gal ha trovato prove delle credenziali di amministratore di Stryker nei registri di infostealer, insieme ad altre credenziali di gestione dei servizi e dei dispositivi mobili di Microsoft collegate all'azienda.

Questo non equivale a una scoperta forense confermata, e Stryker non ha verificato il percorso dell'attacco. In un documento SEC dell'11 marzo https://www.sec.gov/Archives/edgar/data/310764/000119312526102460/d76279d8k.html'azienda ha dichiarato di aver identificato un incidente di cybersecurity che ha colpito alcuni sistemi IT e che ha causato un'interruzione globale del suo ambiente Microsoft. Stryker ha anche affermato di non avere alcuna indicazione di ransomware o malware in quel momento e che la sua indagine rimane in corso.

Le prove indicano un abuso di account validi

Il nuovo rapporto è notevole perché offre una teoria più specifica sul modo in cui gli aggressori potrebbero aver ottenuto l'accesso. Secondo SecurityWeek, i rapporti precedenti indicavano che gli aggressori potrebbero aver abusato dell'ambiente Microsoft Intune di Stryker, dopo aver compromesso un account amministratore e aver creato un nuovo account amministratore globale, che è stato poi presumibilmente utilizzato per cancellare i dispositivi gestiti.

L'analisi di Hudson Rock aggiunge una possibile spiegazione a monte: le credenziali potrebbero essere già circolate nei registri degli infostealer prima dell'incidente. Gal ha detto che le credenziali associate a Stryker sembravano essere vecchie di mesi o addirittura di anni, suggerendo che la finestra di esposizione potrebbe essere iniziata ben prima dell'incidente dell'11 marzo.

La telemetria separata aggiunge supporto, ma non conferma

Un post del 12 marzo di Lunar Cyber ha anche affermato di aver osservato credenziali correlate a Stryker nei registri degli infostealer per gran parte del 2025, con circa 14 set di credenziali esposte, che hanno interessato Microsoft 365 e portali di terze parti.

Ciò non prova che queste credenziali siano state utilizzate nella violazione, ma supporta la possibilità più ampia che i dati di accesso legati a Stryker siano stati esposti prima che l'incidente diventasse pubblico. La documentazione di Stryker dice ancora che la portata, la natura e l'impatto dell'incidente sono ancora sconosciuti.

Per ora, l'ipotesi più sicura è che i nuovi rapporti abbiano collegato la violazione di Stryker a credenziali potenzialmente rubate, ma l'indagine di Stryker è ancora in corso e il percorso esatto dell'intrusione non è stato ufficialmente confermato.