Il gruppo hacktivista Handala, legato secondo più fonti all’intelligence iraniana, ha rivendicato un attacco wiper contro Stryker, uno dei maggiori produttori mondiali di dispositivi medicali e chirurgici. L’azienda, con sede a Kalamazoo (Michigan) e 56.000 dipendenti in 61 paesi, ha riportato lo scorso anno fatturato globale di 25 miliardi di dollari.
Secondo i report, l’attacco ha forzato la chiusura degli uffici Stryker in 79 paesi. In Irlanda, dove si trova il principale hub dell’azienda fuori dagli Stati Uniti, oltre 5.000 dipendenti sono stati mandati a casa. La segreteria telefonica del quartier generale USA ha risposto per giorni con un messaggio che parlava di “emergenza dell’edificio”.
La dimensione del danno
In una dichiarazione pubblicata su Telegram, Handala (noto anche come Handala Hack Team) sostiene di aver cancellato dati da oltre 200.000 sistemi, server e dispositivi mobili. I dipendenti irlandesi, sentiti dall’Irish Examiner, hanno descritto un quadro drammatico: comunicazioni interne ridotte a WhatsApp, tutti i sistemi collegati alla rete non funzionanti, persino i cellulari personali su cui era installato Outlook aziendale sono stati wipeati.
“Le pagine di login sono state defacciate col logo di Handala”, ha riferito l’Examiner, indicando un messaggio politico deliberato.
Come è avvenuto il wipe
I wiper tradizionali sono software malevoli che sovrascrivono i dati sui dispositivi infetti. Ma una fonte informata citata da KrebsOnSecurity ha rivelato un dettaglio tecnico cruciale: gli attaccanti non hanno usato malware di sviluppo proprio. Hanno invece abusato di Microsoft Intune, lo strumento ufficiale di gestione endpoint di Microsoft, per emettere comandi di “remote wipe” come se fossero l’amministratore IT di Stryker.
Questo è un dettaglio operativamente devastante: significa che gli attaccanti erano riusciti a compromettere l’account amministrativo dell’MDM (Mobile Device Management) aziendale. Una volta dentro Intune, il wipe massivo è una funzione documentata del prodotto — non una vulnerabilità, ma un abuso di privilegio.
L’ombra iraniana
Handala è stato profilato in passato da Palo Alto Networks, che lo collega al Ministero dell’Intelligence e Sicurezza iraniano (MOIS). Il gruppo è apparso pubblicamente alla fine del 2023 ed è considerato una delle “personas” operative di Void Manticore, un attore MOIS.
Nel comunicato di rivendicazione, Handala ha presentato l’attacco come ritorsione per il raid missilistico del 28 febbraio che ha colpito una scuola iraniana causando almeno 175 vittime, molte delle quali bambini. Il New York Times ha successivamente riferito che un’indagine militare in corso ha attribuito agli Stati Uniti la responsabilità del lancio del missile Tomahawk.
Cosa significa per l’Italia
Il caso Stryker è un campanello d’allarme per il settore medtech italiano e per qualsiasi organizzazione che usi MDM (Mobile Device Management) cloud-based. Gli strumenti come Microsoft Intune, VMware Workspace ONE, Jamf sono oggi la norma per gestire flotte di dispositivi in aziende distribuite. Ma la stessa caratteristica che li rende utili — la possibilità di comandare remotamente migliaia di dispositivi con un click — li rende un bersaglio critico.
Il modello di minaccia da tenere presente è preciso: un attaccante che compromette l’account admin dell’MDM ottiene, senza bisogno di malware, la capacità di distruggere l’intero parco dispositivi aziendale in pochi minuti. Le difese da implementare sono:
- MFA forte e obbligatoria su ogni account amministrativo MDM (preferibilmente hardware token, non SMS)
- Separazione dei privilegi: nessun account con “remote wipe massivo” + accesso quotidiano
- Alerting sugli eventi di wipe massivo, con soglie a 10+ dispositivi in un’ora
- Backup offline delle configurazioni MDM stesse
- Audit di accesso periodico sugli account amministrativi
Il D.Lgs. 138/2024 di recepimento NIS2 individua le aziende medtech sopra certe soglie come “soggetti importanti” o “essenziali”. Per loro, Stryker non è solo una notizia: è un caso di studio operativo, e un motivo per anticipare gli audit sulla gestione degli endpoint mobili.