L'attacco a Stryker non è stato un errore tecnico: è stato il prezzo dell'ego amministrativo
L'11 marzo 2026, poco dopo mezzanotte, i sistemi della Stryker Corporation hanno iniziato a spegnersi. Non ci sono state esplosioni, non è stato utilizzato ransomware, né codice malevolo installato in server nascosti. Un gruppo pro-iraniano noto come Handala ha utilizzato credenziali legittime di amministratore di Microsoft Intune per inviare un'istruzione a oltre 200.000 dispositivi in 79 paesi: cancella tutto. In poche ore, 56.000 dipendenti si sono trovati con laptop, telefoni aziendali e dispositivi personali bloccati. Cinquantaterabyte di dati, tra cui contratti con fornitori, informazioni ospedaliere e file di design prodotto, sono stati trafugati dall'organizzazione senza che nessuno potesse fermarli.
Il governo degli Stati Uniti ha emesso un avviso esortando le imprese a mettere in sicurezza i loro sistemi di Microsoft. Stryker ha presentato un modulo alla SEC riconoscendo un impatto finanziario materiale di entità indeterminata. Gli ordini elettronici hanno smesso di funzionare. Alcuni interventi chirurgici sono stati rimandati.
Tuttavia, ciò che mi interessa di questo episodio non è la meccanica dell'attacco. Ciò che mi interessa è l'architettura della compiacenza che ha reso tutto ciò possibile.
Quando l'infrastruttura diventa un punto cieco
Microsoft Intune gestisce dispositivi in migliaia di organizzazioni globali. La sua logica è elegante: un amministratore con i privilegi corretti può inviare aggiornamenti, configurare politiche di sicurezza e, in casi estremi, cancellare da remoto un dispositivo smarrito o compromesso. Quest'ultima funzione esiste per proteggere le aziende. Nel caso di Stryker, è stata l'arma dell'attacco.
Ciò che gli analisti di Forrester hanno descritto come tecniche di "vivere di quello che si ha" — utilizzare gli stessi strumenti legittimi dell'ambiente per attaccarlo — non è una novità tecnica. È, in effetti, una delle metodologie più documentate in cybersecurity da anni. Il gruppo Handala non ha inventato nulla. Ha trovato credenziali di amministratore o amministrazione globale di Intune, probabilmente rubate tramite malware precedenti, e le ha utilizzate esattamente per quello per cui erano progettate.
Qui risiede il primo diagnostic o che sembra rilevante per qualsiasi C-Level che legga: gli attacchi che causano maggior danno non sfruttano vulnerabilità sconosciute; sfruttano privilegi che l'organizzazione ha conferito senza sufficiente vigilanza e senza sufficiente attrito. Stryker non è stata penetrata perché qualcuno ha trovato una falla nel codice di Microsoft. È stata penetrata perché qualcuno aveva le chiavi, e nessuno nella catena decisionale aveva costruito un sistema che richiedesse di confermare, ogni volta, che quelle chiavi fossero nelle mani giuste.
La domanda che ogni CTO, CEO e membro del consiglio dovrebbe porsi in questo momento non è tecnica. È organizzativa: nella mia azienda, chi può prendere una decisione che cancella 200.000 dispositivi, e quanta frizione esiste tra quella persona e quella capacità?
La comodità amministrativa che crea fragilità
Ho visto questo schema ripetersi in settori così diversi come la banca, la manifattura e ora la tecnologia medica. Un'azienda cresce. La sua infrastruttura digitale si espande. I team IT accumulano privilegi perché è più efficiente operare con accessi ampi piuttosto che sugli accessi chirurgici. La gestione delle identità e degli accessi diventa una conversazione tecnica che "spetta al team di sicurezza", e quel team, spesso con risorse limitate e senza un posto al tavolo esecutivo, riporta verso il basso piuttosto che verso l'alto.
La comodità amministrativa è la decisione implicita di non complicare i processi interni per mantenere la velocità operativa. E per anni, quella decisione ha prodotto risultati positivi: i sistemi funzionano, i dispositivi vengono gestiti, i dipendenti lavorano senza attriti. Fino a quando qualcuno con credenziali rubate decide che quella stessa comodità è il suo vettore d'ingresso.
Stryker ha generato oltre 20 miliardi di dollari di entrate nel 2025. I suoi robot chirurgici Mako da soli hanno rappresentato 1,3 miliardi di dollari. L'azienda opera in 79 paesi con decine di migliaia di dipendenti. Eppure, la capacità di cancellare tutta la sua infrastruttura di dispositivi era concentrata a un livello di privilegio a cui, apparentemente, si era arrivati con credenziali compromesse. Questa asimmetria tra scala e controllo è il sintomo più preciso di ciò che accade quando la velocità di crescita supera la velocità di maturità istituzionale.
Non c'è un villain individuale in questa storia. C'è una cultura dirigenziale che, per anni, probabilmente ha prioritizzato l'agilità operativa sulla governance degli accessi. Questa è una decisione di leadership, non un incidente tecnico.
Il modello BYOD e il debito che nessuno voleva contabilizzare
C'è un elemento di questo attacco che merita un'attenzione specifica perché trascende il contesto aziendale: i dispositivi personali. Stryker, come migliaia di aziende globali, operava sotto un modello di gestione che includeva telefoni e laptop di proprietà dei propri dipendenti, registrati in Microsoft Intune. Quando Handala ha eseguito la cancellazione remota, non ha fatto distinzioni. I dispositivi aziendali e quelli personali hanno ricevuto la stessa istruzione. Foto personali, gestori di password, app di autenticazione multifattoriale, registri finanziari: tutto annullato.
Il modello dei dispositivi personali in contesti aziendali trasferisce efficienza all'azienda e rischio al dipendente. Stryker si è risparmiata per anni il costo di fornire ai propri dipendenti dispositivi aziendali dedicati. L'11 marzo 2026, quei dipendenti hanno pagato quel risparmio con le loro informazioni personali.
Questo non è un giudizio morale su Stryker in particolare; è un'analisi di una pratica diffusa in tutta l'industria. E ciò che rivela è una conversazione che la maggior parte delle organizzazioni non ha avuto in modo onesto con i propri dipendenti né con i propri consigli: quando chiediamo loro di installare i nostri sistemi sui loro dispositivi personali, stiamo chiedendo loro di assumersi un rischio che noi non quantifichiamo né compensiamo. Le azioni legali che probabilmente seguiranno a questo episodio non saranno solo contro gli aggressori. Saranno contro l'azienda che ha progettato un sistema in cui la cancellazione dei dati personali era una conseguenza possibile della sua architettura gestionale.
Gli analisti di Forrester hanno avvertito inoltre che i 50 terabyte di dati esfiltrati potrebbero essere utilizzati per costruire attacchi di phishing altamente convincenti: e-mail false a nome di Stryker verso ospedali, istruzioni di richiamo fraudolente, manipolazione delle catene di approvvigionamento. Il danno dell'11 marzo non è finito l'11 marzo.
La maturità dirigenziale si misura nei privilegi che nessuno ha voluto audire
C'è una narrativa comoda disponibile per qualsiasi organizzazione dopo un attacco di questo genere: siamo stati vittime di un attore statale sofisticato, abbiamo agito rapidamente, abbiamo contenuto il danno, i nostri dispositivi medici non sono stati mai compromessi. E quella narrativa ha parti vere. Stryker ha rilevato l'intrusione con relativa velocità, i suoi robot chirurgici Mako hanno continuato a funzionare grazie a piani memorizzati localmente su USB, e le linee di approvvigionamento hanno continuato a operare mediante processi manuali.
Ma nessuna di queste risposte risponde alla domanda che importa per chiunque voglia imparare qualcosa da questo episodio: quale conversazione sulla governance degli accessi privilegiati non è avvenuta prima dell'11 marzo perché sarebbe stata scomoda, costosa o politicamente difficile da sostenere all'interno dell'organizzazione.
L'architettura di sicurezza di un'azienda è sempre il riflesso fedele della sua architettura di potere interno. I privilegi che si accumulano senza audit sono l'equivalente digitale di processi che nessuno rivede perché chi li ha progettati è ancora in azienda. Le credenziali che non ruotano sono le promesse che nessuno ha rinnegociato. Gli accessi di amministratore globale che non hanno doppia validazione sono le decisioni che sono state prese una volta, in un altro contesto, e che nessuno ha avuto l'incentivo di mettere in discussione in seguito.
Il settore della tecnologia medica affronta un aumento del 30% degli attacchi durante il 2025. Il 40% delle violazioni documentate involve credenziali rubate. Questi numeri non sono argomenti per il panico; sono il contesto che rende inaccettabile la compiacenza.
Un dirigente che guarda questo episodio e conclude che Stryker ha avuto solo sfortuna sta leggendo la storia sbagliata. La cultura di un'organizzazione è il risultato naturale di perseguire uno scopo autentico, o il sintomo inevitabile di tutte le conversazioni difficili che l'ego del leader non gli consente di avere.
