Caso Stryker: Come l'Iran Ha Trasformato Microsoft Intune in un'Arma e Cancellato 200.000 Dispositivi in 79 Paesi

Alle 3:30 del mattino (ora di New York) dell'11 marzo 2026, i primi comandi di wipe hanno iniziato a propagarsi attraverso l'infrastruttura Microsoft Intune di Stryker Corporation. Tre ore dopo, quando i 56.000 dipendenti dell'azienda hanno iniziato la loro giornata lavorativa in 79 Paesi del mondo, hanno trovato i loro laptop, telefoni aziendali e tablet completamente cancellati. Schermi neri. Nessun accesso ai sistemi. Nessuna email. Nessun modo di processare ordini, gestire la produzione o coordinare la distribuzione di dispositivi medici salvavita. In meno di tre ore, un gruppo di hacker iraniani aveva trasformato il sistema di gestione dei dispositivi dell'azienda — uno strumento progettato per proteggerli — nell'arma più efficiente mai usata per distruggerli.

Stryker Corporation non è un'azienda qualsiasi. È un colosso Fortune 300 da $25 miliardi di fatturato annuo, uno dei più grandi produttori di dispositivi medici al mondo — protesi articolari, strumentazione chirurgica, sistemi di navigazione per sale operatorie, letti ospedalieri intelligenti. Quando Stryker si ferma, gli ospedali rallentano. Gli interventi vengono rinviati. Le catene di approvvigionamento mediche si interrompono. Questo non è stato un attacco a un'infrastruttura digitale — è stato un attacco alla sanità globale, eseguito con uno strumento di Microsoft.

L'Attaccante: Handala, il Volto Hacktivista dell'Intelligence Iraniana

Handala si presenta come un gruppo hacktivista pro-palestinese, apparso per la prima volta nel dicembre 2023. Ma dietro la facciata hacktivista si nasconde un'operazione di intelligence statale. Palo Alto Networks Unit 42, Brandefense e Microsoft valutano con "alta confidenza" che Handala è una delle diverse personas online mantenute da Void Manticore — un attore di minaccia legato allo Stato iraniano operativo almeno dal 2022. Il gruppo opera in allineamento con il Ministero dell'Intelligence e della Sicurezza iraniano (MOIS), fungendo da estensione strategica degli interessi di Stato iraniani mantenendo una negabilità plausibile attraverso la sua cornice hacktivista.

Handala è tracciato dalla comunità di cybersecurity con diversi nomi: Banished Kitten, Cobalt Mystique, Red Sandstorm, Void Manticore. Il gruppo ha dichiarato che l'attacco a Stryker era una ritorsione per un attacco missilistico statunitense e israeliano su una scuola a Minab, in Iran, che avrebbe ucciso più di 175 persone, la maggior parte bambini. Vera o falsa che sia la motivazione dichiarata, l'attribuzione è chiara: questo è stato un atto di guerra cyber condotto da un'agenzia di intelligence statale sotto copertura hacktivista.

Fase 1: L'Infiltrazione Silenziosa — Mesi Prima dell'Esplosione

L'attacco dell'11 marzo non è iniziato l'11 marzo. Check Point Research ha stabilito che l'accesso iniziale è stato ottenuto mesi prima della fase distruttiva. I ricercatori di threat intelligence hanno identificato 278 set di credenziali Stryker compromesse tra ottobre 2025 e marzo 2026, con attività concentrata nelle settimane immediatamente precedenti l'attacco. Il metodo probabile: credential theft attraverso phishing o malware infostealer che raccoglievano credenziali di accesso da account di dipendenti ordinari.

Ma la tecnica più sofisticata identificata è il phishing AiTM (Adversary-in-the-Middle). Proofpoint ha documentato campagne AiTM attive condotte da TA450 — la designazione per MuddyWater, un gruppo legato al MOIS con sovrapposizioni documentate con Handala — che prendevano di mira organizzazioni americane fino all'8 marzo 2026, tre giorni prima dell'attacco. Il phishing AiTM non richiede malware sul dispositivo della vittima: l'attacco avviene interamente tra il browser della vittima e un proxy controllato dall'attaccante, che intercetta in tempo reale le credenziali e i token di sessione — bypassando anche l'autenticazione multi-fattore.

Un'ulteriore ipotesi — non confermata ma documentata da Unit 42 e Securonix — coinvolge la compromissione della supply chain: Handala ha un focus specifico su "punti d'appoggio nella supply chain attraverso provider IT e di servizi per raggiungere le vittime a valle". La compromissione di un fornitore IT di Stryker avrebbe potuto fornire l'accesso iniziale senza toccare direttamente i sistemi dell'azienda.

Fase 2: L'Escalation — Da Dipendente a Dio del Cloud

Una volta dentro, gli attaccanti hanno navigato l'ambiente Microsoft Entra ID (ex Azure Active Directory) di Stryker fino a compromettere un account di Global Administrator. Secondo KrebsOnSecurity, basandosi su una fonte a conoscenza dell'indagine, gli attaccanti hanno creato un nuovo account Global Administrator dopo aver compromesso un account amministratore esistente. Un Global Administrator in Entra ID ha il controllo assoluto: può gestire tutti gli utenti, tutte le applicazioni, tutti i dispositivi, tutte le policy. È l'equivalente digitale di avere le chiavi di ogni porta, di ogni cassaforte, di ogni veicolo dell'azienda.

Con i privilegi di Global Administrator, gli attaccanti avevano accesso a Microsoft Intune — la piattaforma di Mobile Device Management (MDM) che Stryker utilizzava per gestire i suoi 200.000+ dispositivi in tutto il mondo. Intune è progettato per consentire agli amministratori IT di configurare, aggiornare, proteggere e — quando necessario — cancellare da remoto i dispositivi aziendali. È uno strumento di gestione e protezione. Ma nelle mani di un attaccante con privilegi amministrativi, diventa l'arma di distruzione di massa più efficiente immaginabile: un singolo comando di wipe, propagato attraverso l'intera infrastruttura globale.

Fase 3: L'Esecuzione — 200.000 Dispositivi in 3 Ore

Alle 3:30 AM EST dell'11 marzo, gli attaccanti hanno lanciato il comando di wipe attraverso Intune. Tra le 5:00 e le 8:00 UTC, circa 80.000 dispositivi Windows sono stati cancellati — secondo il report di BleepingComputer. Ma il numero totale è molto più alto: Handala ha rivendicato 200.000+ dispositivi cancellati, includendo non solo laptop Windows ma anche telefoni aziendali, tablet e altri dispositivi gestiti da Intune in 79 Paesi. La tempistica è stata calcolata: l'attacco è stato lanciato durante la notte in Nord America, quando il personale IT era al minimo, massimizzando il danno prima che qualcuno potesse intervenire.

L'impatto è stato immediato e totale. I dipendenti Stryker in tutto il mondo hanno trovato i dispositivi completamente cancellati. Nessun accesso a email, sistemi di ordine, piattaforme di produzione, documentazione. Il sistema di ordini elettronici — che gestisce $5,5 miliardi di fatturato trimestrale — è andato offline. L'azienda è stata costretta a passare all'elaborazione manuale degli ordini, un collo di bottiglia enorme per un'organizzazione di quelle dimensioni. Gli interventi chirurgici in ospedali che dipendevano da dispositivi Stryker sono stati ritardati.

Handala ha anche rivendicato l'esfiltrazione di 50 terabyte di dati aziendali, anche se gli investigatori non hanno trovato prove di esfiltrazione. Il gruppo ha pubblicato sample dei dati rubati sul proprio sito di leak — prima che l'FBI lo sequestrasse il 19 marzo. Che i 50 TB siano reali o esagerati, l'operazione psicologica ha funzionato: l'incertezza sui dati rubati ha amplificato il danno reputazionale e la pressione sull'azienda.

L'Impatto: Ospedali, Borsa e Sicurezza Nazionale

L'attacco ha colpito Stryker su tre dimensioni simultanee. La dimensione operativa: il sistema di ordini elettronici è rimasto offline dal 11 al 15 marzo, con ritorno graduale alla normalità entro il 26 marzo. La produzione manifatturiera è stata interrotta. Solo il 2 aprile 2026 — 22 giorni dopo l'attacco — l'azienda si è dichiarata "pienamente operativa". L'azienda ha confermato in un filing SEC che la timeline di ripristino completo era "sconosciuta" nelle prime fasi.

La dimensione finanziaria: il titolo Stryker (SYK) è crollato del 9%, scendendo a $339. Per un'azienda con una capitalizzazione di mercato di oltre $100 miliardi, un calo del 9% equivale a circa $9 miliardi di valore azionario evaporato in un giorno. Nonostante ciò, l'azienda ha riconfermato la guidance di crescita organica dell'8-9,5% per l'anno, e il titolo ha recuperato nelle settimane successive grazie alla rapidità del recovery.

La dimensione sanitaria: Stryker produce dispositivi medici utilizzati quotidianamente in sale operatorie di tutto il mondo. Quando i sistemi di ordine e distribuzione si fermano, gli ospedali non ricevono protesi, strumentazione chirurgica e equipaggiamento necessario per gli interventi. CyberNews ha riportato che l'hack di Handala ha ritardato interventi chirurgici. Per un'azienda che produce tecnologie salvavita, un attacco informatico diventa una minaccia diretta alla salute dei pazienti.

• 200.000+ dispositivi cancellati in 79 Paesi in meno di 3 ore
• $5,5 miliardi di ordini trimestrali gestiti manualmente per giorni
• 22 giorni per il ripristino completo (11 marzo → 2 aprile 2026)
• -9% in borsa: circa $9 miliardi di capitalizzazione evaporata in un giorno
• Interventi chirurgici ritardati in ospedali dipendenti da dispositivi Stryker
• FBI sequestra i siti di leak di Handala il 19 marzo
• CISA emette alert specifico sull'hardening dei sistemi di endpoint management
• Filing SEC: timeline di ripristino "sconosciuta" nelle prime fasi

La Lezione Più Importante: Il Tuo MDM È la Tua Più Grande Vulnerabilità

L'attacco Stryker ha riscritto le regole della cybersecurity enterprise. Per decenni, il paradigma è stato: "proteggi il perimetro, gestisci gli endpoint, mantieni il controllo". Strumenti come Intune, VMware Workspace ONE, Jamf, SCCM sono stati adottati massivamente proprio per questo — per avere il controllo centralizzato su tutti i dispositivi aziendali. Ma l'attacco Stryker dimostra che il controllo centralizzato è un'arma a doppio taglio: chi controlla il controller, controlla tutto.

Sygnia, nella sua analisi dell'incidente, ha definito questo attacco un "Identity Control Plane Attack" — un attacco che colpisce non i singoli dispositivi, ma il piano di controllo che li governa tutti. Il piano di controllo dell'identità (Entra ID) e il piano di gestione dei dispositivi (Intune) sono diventati il singolo punto di fallimento che, una volta compromesso, ha consentito la distruzione simultanea dell'intera infrastruttura globale. Non è un bug di Intune. Non è una vulnerabilità di Microsoft. È un difetto architetturale nel modo in cui le organizzazioni configurano e proteggono i loro sistemi di gestione.

Perché Questo Caso Riguarda Ogni Azienda Europea

L'attacco Stryker non è un caso isolato che riguarda solo le aziende americane nel mirino dell'Iran. È un template che qualsiasi attore — statale o criminale — può replicare contro qualsiasi organizzazione che usa un MDM con controllo centralizzato. E praticamente ogni azienda europea medio-grande lo fa. Microsoft Intune è lo standard de facto per la gestione dei dispositivi in ambienti Microsoft 365 — lo stesso ambiente che la maggioranza delle aziende europee utilizza.

La Direttiva NIS2 impone alle organizzazioni europee di implementare misure di gestione del rischio cyber, inclusa la gestione degli incidenti e la business continuity. Ma se il piano di business continuity presuppone che i dispositivi aziendali siano operativi — e un attaccante può cancellarli tutti in tre ore attraverso il sistema di gestione — allora il piano non è resiliente. L'attacco Stryker è il test di stress definitivo per la cyber-resilienza di qualsiasi organizzazione: sopravvivereste alla cancellazione simultanea di tutti i vostri dispositivi?

Raccomandazioni Operative: Come Proteggere il Vostro MDM

1. 1.Dual-approval per operazioni distruttive: implementare l'approvazione obbligatoria di un secondo amministratore per qualsiasi operazione di wipe massivo su Intune. CISA lo raccomanda esplicitamente nel suo alert del 18 marzo 2026. Nessun singolo amministratore dovrebbe poter cancellare più di un dispositivo alla volta senza approvazione.
2. 2.Separazione dei ruoli amministrativi: non utilizzare Global Administrator per le operazioni quotidiane. Creare ruoli Intune dedicati con permessi minimi necessari (principio del least privilege). Il Global Administrator dovrebbe essere un account break-glass protetto da MFA hardware, monitorato e usato solo in emergenze.
3. 3.Conditional Access rigoroso per gli admin: gli account amministrativi devono essere protetti da Conditional Access che richieda dispositivi gestiti, MFA hardware (FIDO2/WebAuthn), geolocalizzazione verificata e accesso solo da workstation di amministrazione dedicate (PAW — Privileged Access Workstation).
4. 4.Monitoraggio delle operazioni Intune ad alto impatto: implementare alert in tempo reale per qualsiasi comando di wipe, qualsiasi creazione di nuovo account Global Administrator, qualsiasi modifica alle policy di configurazione dei dispositivi e qualsiasi accesso amministrativo da IP o dispositivi non riconosciuti.
5. 5.Protezione dell'Identity Control Plane: l'ambiente Entra ID è il piano di controllo dell'identità — la sua compromissione equivale alla compromissione di tutto. Implementare Privileged Identity Management (PIM) con attivazione just-in-time dei privilegi, monitoraggio continuo e revisione periodica degli accessi.
6. 6.Backup offline della configurazione: mantenere un backup offline della configurazione Intune, delle policy e dell'inventario dei dispositivi. In caso di compromissione, questo permette di ricostruire l'ambiente di gestione senza dipendere dal cloud potenzialmente compromesso.
7. 7.Piano di risposta per "wipe totale": il piano di incident response deve includere lo scenario specifico "tutti i dispositivi cancellati". Come si comunicazione senza email? Come si coordinano 56.000 dipendenti senza sistemi IT? Come si ripristinano 200.000 dispositivi? Stryker ci ha messo 22 giorni — la vostra organizzazione sarebbe più veloce?
8. 8.Segmentazione del MDM: considerare la segmentazione dell'ambiente Intune in zone separate per regione, funzione o criticità, in modo che la compromissione di un segmento non consenta la distruzione dell'intero parco dispositivi globale.

Conclusione: Il Giorno in Cui uno Strumento di Protezione È Diventato un'Arma di Distruzione

L'attacco a Stryker dell'11 marzo 2026 è un punto di inflessione nella storia della cybersecurity. Non per la sofisticazione del malware — perché non c'è stato malware. Non per la complessità dell'exploit — perché non c'è stato exploit. L'attacco è devastante nella sua semplicità: un account amministrativo compromesso, un comando di wipe legittimo, 200.000 dispositivi cancellati. La genialità dell'attacco sta nell'aver capito che il modo più efficiente per distruggere un'infrastruttura IT globale non è attaccarla — è usare lo strumento che l'azienda ha costruito per gestirla.

Handala — Void Manticore — il MOIS iraniano — ha dimostrato che nell'era del cloud, il confine tra gestione e distruzione è un singolo account amministrativo. Non servono wiper sofisticati quando il tuo MDM può fare lo stesso lavoro in modo più pulito, più veloce e più completo di qualsiasi malware. La vera domanda per ogni CISO, ogni CTO, ogni board aziendale non è "potrebbe succedere a noi?" — è "cosa ci impedirebbe di finire come Stryker se succedesse domani mattina alle 3:30?"

La risposta, per la maggior parte delle organizzazioni, è: niente. E questo è il problema che l'attacco Stryker ha esposto in modo irreversibile. Non è un problema di tecnologia — è un problema di architettura, di governance e di immaginazione. Chi non riesce a immaginare che il proprio strumento di protezione possa diventare un'arma, non è preparato per il mondo in cui viviamo.