Hackers iraníes atacan Stryker con wiper via Intune

Qué es un ataque wiper y por qué Stryker fue el objetivo

El pasado 11 de marzo de 2026, el mundo de la ciberseguridad registró uno de los incidentes más disruptivos del año: el grupo hacktivista Handala, vinculado al Ministerio de Inteligencia y Seguridad de Irán (MOIS) a través del actor de amenazas conocido como Void Manticore, reclamó la autoría de un ataque wiper contra Stryker, una de las empresas de tecnología médica más grandes del mundo.

A diferencia del ransomware, cuyo objetivo es extorsionar a la víctima a cambio de un rescate, un ataque wiper está diseñado para causar destrucción máxima e irreversible: borra datos, inutiliza sistemas y no deja ninguna llave de recuperación. No busca dinero; busca daño. Y en este caso, el mensaje fue político desde el primer momento.

El grupo Handala: perfil del actor de amenazas

Handala surgió a finales de 2023, inicialmente enfocado en infraestructura israelí. Su arsenal incluye phishing sofisticado, robo de datos, extorsión al estilo ransomware y malware destructivo tanto para sistemas Windows como Linux. Múltiples firmas de inteligencia de amenazas lo identifican como un frente patrocinado por el Estado iraní, con narrativa hacktivista pero alineado estratégicamente con los intereses geopolíticos de Teherán.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

El grupo justificó el ataque contra Stryker como «represalia por el ataque misilístico sobre la escuela de niñas de Minab en Teherán», que según sus propias comunicaciones causó la muerte de más de 175 civiles, la mayoría menores. El Pentágono confirmó que investiga el incidente. Stryker, sin vínculos militares directos pero con operaciones en Israel y un contrato con el Departamento de Defensa de EE. UU. por 450 millones de dólares, se convirtió en objetivo simbólico de alto valor.

Cómo se ejecutó el ataque: Microsoft Intune como vector de destrucción

El vector técnico del ataque es especialmente relevante para cualquier empresa que gestione su infraestructura en la nube. Los atacantes habrían comprometido el tenant de Microsoft 365 de Stryker, obteniendo acceso privilegiado a Microsoft Intune, la herramienta de gestión de endpoints de Microsoft utilizada para administrar dispositivos corporativos de forma remota.

Una vez dentro, desplegaron el wiper a escala masiva: más de 200.000 sistemas, servidores y dispositivos móviles fueron afectados simultáneamente. Previamente, los atacantes extrajeron 50 terabytes de datos. Como firma de su acción, reemplazaron las pantallas de inicio de sesión de los equipos comprometidos con el logotipo de Handala.

Este vector es un recordatorio crítico: una brecha en la capa de administración de identidades y dispositivos puede convertirse en el mecanismo de destrucción más poderoso de toda una organización. No fue necesario explotar una vulnerabilidad de día cero en el software médico; bastó con tomar control del panel de administración.

Impacto operacional: 79 países, 5.000 empleados paralizados

La escala del daño fue global. Las operaciones de Stryker en 79 países se vieron forzadas a cerrar. La compañía emitió un aviso interno describiendo una «interrupción severa y global en todo el entorno Windows», bloqueando el acceso a sistemas y servicios esenciales.

El epicentro fuera de Estados Unidos fue Irlanda, donde Stryker emplea a cerca de 5.000 personas en su sede de Cork, uno de los mayores centros de fabricación de dispositivos médicos de Europa. Las plantas de producción pararon. El personal de soporte, ingeniería y administración fue enviado a casa. Incluso los teléfonos personales que tenían configurado Microsoft Outlook corporativo fueron borrados remotamente.

El National Cyber Security Centre (NCSC) de Irlanda activó su protocolo de respuesta, y la Dirección Nacional Cibernética de Israel reportó haber interceptado ataques iraníes relacionados durante el mismo periodo.

Implicaciones para la cadena de suministro del sector salud

Stryker no es una empresa cualquiera: fabrica implantes, instrumental quirúrgico, equipos de sala de operaciones y dispositivos de diagnóstico que hospitales y clínicas de todo el mundo utilizan a diario. Una interrupción en su producción no es solo un problema corporativo; es un problema de continuidad asistencial.

Este ataque expone una vulnerabilidad estructural que el sector de la salud no puede seguir ignorando:

Dependencia tecnológica concentrada: el uso de plataformas como Microsoft 365/Intune como única capa de gestión de endpoints crea un punto único de fallo catastrófico.
Superficie de ataque ampliada: cuando la administración remota de dispositivos médicos y corporativos comparte el mismo tenant, el radio de daño de una brecha se multiplica exponencialmente.
Geopolítica como vector de riesgo: los actores estatales están usando el ciberespacio para responder a conflictos cinéticos. Las empresas con contratos gubernamentales o presencia en zonas de tensión son objetivos legítimos en esta lógica de represalia.

Lecciones para founders tech y empresas con infraestructura crítica

Aunque el caso de Stryker parece lejano para una startup, las lecciones de seguridad son directamente aplicables a cualquier empresa que escale con herramientas de productividad en la nube:

Principio de mínimo privilegio en herramientas de MDM/UEM: no todos los administradores necesitan poder ejecutar un wipe remoto masivo. Segmenta y audita los permisos de Intune, Jamf o cualquier solución de gestión de endpoints.
MFA reforzado en el tenant de Microsoft 365: la cuenta de administrador global debe tener autenticación multifactor resistente a phishing (llaves de hardware FIDO2, no solo SMS).
Planes de continuidad de negocio (BCP) probados: no basta con tenerlos escritos; deben simularse al menos una vez al año con escenarios de pérdida total de acceso a sistemas en la nube.
Monitoreo de comportamiento anómalo en el plano de control: un script de Intune que ejecuta wipes masivos a las 3 AM debería disparar alertas inmediatas. Las soluciones de SIEM/XDR bien configuradas pueden detectar esto.
Evaluación de riesgo geopolítico para empresas con contratos gubernamentales: si tu empresa trabaja con gobiernos o en sectores sensibles, debes incorporar el riesgo de ciberataques patrocinados por estados en tu análisis de amenazas.

Conclusión

El ataque de Handala contra Stryker marca una escalada significativa en la forma en que los actores estatales utilizan el ciberespacio como campo de batalla. El uso de Microsoft Intune como vector de destrucción masiva no es solo un problema de una gran corporación médica: es una señal de alerta para toda empresa que gestione su infraestructura en plataformas de administración centralizada en la nube.

En el ecosistema startup, donde la velocidad de adopción tecnológica supera frecuentemente a la madurez de las prácticas de seguridad, este caso es un recordatorio de que la ciberseguridad no es un gasto de IT; es una función de resiliencia del negocio. La pregunta no es si tu empresa será objetivo, sino si está preparada para responder cuando lo sea.

Profundiza estos temas con nuestra comunidad de expertos en Ecosistema Startup

Unirme a la comunidad