O ataque à Stryker não foi um erro técnico: foi o preço do ego administrativo
Na madrugada de 11 de março de 2026, os sistemas da Stryker Corporation começaram a falhar. Não houve explosão, não houve ransomware, nem códigos maliciosos instalados em servidores ocultos. Um grupo pró-Irã conhecido como Handala utilizou credenciais legítimas de administrador do Microsoft Intune para enviar uma instrução a mais de 200.000 dispositivos em 79 países: bórralo tudo. Em questão de horas, 56.000 funcionários se viram com laptops, telefones corporativos e dispositivos pessoais transformados em tijolos. Cinquenta terabytes de dados, incluindo contratos com fornecedores, informações hospitalares e arquivos de design de produto, saíram da organização sem que ninguém pudesse impedi-los.
O governo dos Estados Unidos emitiu um alerta urgindo as empresas a assegurarem seus sistemas da Microsoft. A Stryker apresentou um formulário na SEC reconhecendo um impacto financeiro material de magnitude indeterminada. Os pedidos eletrônicos deixaram de funcionar e alguns procedimentos cirúrgicos foram adiados.
No entanto, o que me interessa neste episódio não é a mecânica do ataque. O que me interessa é a arquitetura da complacência que tornou tudo isso possível.
Quando a infraestrutura se torna um ponto cego
Microsoft Intune gerencia dispositivos em milhares de organizações globais. Sua lógica é elegante: um administrador com os privilégios corretos pode empurrar atualizações, configurar políticas de segurança e, em casos extremos, apagar remotamente um dispositivo perdido ou comprometido. Essa última função existe para proteger as empresas. No caso da Stryker, foi a arma do ataque.
O que analistas da Forrester descrevem como técnicas de "viver da terra" — usar as próprias ferramentas legítimas do ambiente para atacá-lo — não é uma novidade. É, de fato, uma das metodologias mais documentadas em cibersegurança há anos. O grupo Handala não inventou nada. Encontrou credenciais de administrador ou administrador global do Intune, provavelmente roubadas através de malware anterior, e as utilizou para o que foram projetadas.
Aqui reside o primeiro diagnóstico que considero relevante para qualquer C-Level que leia isso: os ataques que causam mais danos não exploram vulnerabilidades desconhecidas; exploram privilégios que a organização concedeu sem vigilância e sem fricção suficiente. A Stryker não foi penetrada porque alguém encontrou um buraco no código da Microsoft. Foi penetrada porque alguém tinha as chaves, e ninguém na cadeia de decisão havia construído um sistema que exigisse confirmar, a cada vez, que essas chaves estavam nas mãos corretas.
A pergunta que todo diretor de tecnologia, todo CEO e todo membro do conselho deve estar fazendo agora não é técnica. É organizacional: em minha empresa, quem pode tomar uma decisão que apague 200.000 dispositivos, e quanta fricção existe entre essa pessoa e essa capacidade?
O conforto administrativo que cria fragilidade
Vi esse padrão se repetir em setores tão diferentes quanto a banca, a manufatura e agora a tecnologia médica. Uma empresa cresce. Sua infraestrutura digital se expande. Os departamentos de TI acumulam privilégios porque é mais eficiente operar com acessos amplos do que com acessos cirúrgicos. A gestão de identidades e acessos se torna uma conversa técnica que "compete à equipe de segurança", e essa equipe, frequentemente com recursos limitados e sem assento na mesa executiva, reporta para baixo em vez de para cima.
O conforto administrativo é a decisão implícita de não complicar os processos internos para manter a velocidade operacional. E durante anos, essa decisão produz resultados positivos: os sistemas funcionam, os dispositivos são gerenciados e os funcionários trabalham sem fricção. Até que alguém com credenciais roubadas decide que essa mesma comodidade é seu vetor de entrada.
A Stryker gerou mais de 20 bilhões de dólares em receita em 2025. Apenas seus robôs cirúrgicos Mako representaram 1,3 bilhões de dólares. A empresa opera em 79 países com dezenas de milhares de funcionários. E, no entanto, a capacidade de apagar toda sua infraestrutura de dispositivos estava concentrada em um nível de privilégio que, aparentemente, foi acessado com credenciais comprometidas. Essa assimetria entre escala e controle é o sintoma mais preciso do que acontece quando a velocidade de crescimento supera a velocidade de maturação institucional.
Não há um vilão individual nesta história. Há uma cultura gerencial que, durante anos, provavelmente priorizou a agilidade operacional em detrimento da governança de acessos. Essa é uma decisão de liderança, não um acidente técnico.
O modelo BYOD e a dívida que ninguém queria contabilizar
Um elemento deste ataque merece atenção específica porque transcende o corporativo: os dispositivos pessoais. A Stryker, como milhares de empresas globais, operava sob um modelo de gestão que incluía telefones e laptops próprios de seus funcionários, cadastrados no Microsoft Intune. Quando o Handala executou o apagamento remoto, não houve discriminação. Os dispositivos corporativos e os pessoais receberam a mesma instrução. Fotos pessoais, gerenciadores de senhas, aplicativos de autenticação multifatorial, registros financeiros: tudo foi eliminado.
O modelo de dispositivos pessoais em ambientes corporativos transfere eficiência para a empresa e risco para o funcionário. A Stryker economizou por anos o custo de fornecer dispositivos corporativos dedicados. No dia 11 de março de 2026, esses funcionários pagaram esse custo com suas informações pessoais.
Isso não é um julgamento moral sobre a Stryker em particular; é um diagnóstico de uma prática disseminada na indústria. E o que revela é uma conversa que a maioria das organizações não teve de forma honesta com seus funcionários ou com seus conselhos: quando lhes pedimos que instalem nossos sistemas em seus dispositivos pessoais, estamos pedindo que assumam um risco que nós não quantificamos nem compensamos. As ações coletivas que provavelmente se seguirão a este episódio não serão apenas contra os atacantes. Serão contra a empresa que desenhou um sistema onde a exclusão de dados pessoais era uma consequência possível de sua arquitetura de gestão.
Os analistas da Forrester também advertiram que os 50 terabytes de dados exfiltrados poderiam ser usados para construir ataques de phishing altamente convincentes: e-mails falsos em nome da Stryker para hospitais, instruções de recall fraudulentas, manipulação de cadeias de suprimentos. O dano do dia 11 de março não terminou em 11 de março.
A maturidade gerencial é medida nos privilégios que ninguém quis auditar
Há uma narrativa conveniente disponível para qualquer organização após um ataque de tal natureza: fomos vítimas de um ator estatal sofisticado, agimos rapidamente, contivemos os danos, nossos dispositivos médicos nunca estiveram comprometidos. E essa narrativa contém partes verdadeiras. A Stryker detectou a intrusão com relativa rapidez; seus robôs cirúrgicos Mako seguiram funcionando por meio de planos armazenados localmente em USB, e as linhas de fornecimento continuaram operando por meio de processos manuais.
Mas nenhuma dessas respostas responde à pergunta que é importante para o executivo que deseja aprender algo com este episódio: que conversa sobre governança de acessos privilegiados não ocorreu antes do dia 11 de março porque seria desconfortável, cara ou politicamente difícil de manter dentro da organização?
A arquitetura de segurança de uma empresa é sempre o reflexo fiel de sua arquitetura de poder interno. Os privilégios que se acumulam sem auditoria são o equivalente digital de processos que ninguém revisa porque quem os projetou ainda está na empresa. As credenciais que não rodam são as promessas que ninguém renegociou. Os acessos de administrador global que não têm dupla validação são as decisões que foram tomadas uma vez, em outro contexto, e que ninguém teve o incentivo de questionar depois.
O setor de tecnologia médica enfrenta um aumento de 30% nos ataques em 2025. Quarenta por cento das brechas documentadas envolvem credenciais roubadas. Esses números não são argumentos para pânico; são o contexto que torna a complacência inaceitável.
Um executivo que observa este episódio e conclui que a Stryker teve má sorte está lendo a história errada. A cultura de toda organização é o resultado natural de perseguir um propósito autêntico, ou o sintoma inevitável de todas as conversas difíceis que o ego do líder não permite que sejam mantidas.
