ANÁLISIS
Stryker, miles de dispositivos borrados: el ataque destructivo y las exclusiones de guerra
El 11 de marzo de 2026 un ataque reivindicado por el grupo Handala, vinculado a Irán, borró a distancia miles de dispositivos de Stryker, perturbando durante casi un mes pedidos, envíos y producción. El análisis: destruir sin rescate, el Estado y las exclusiones de guerra, la interrupción en sanidad y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de marzo de 2026 · por cybercoverinsurance
El 11 de marzo de 2026 Stryker, uno de los mayores fabricantes mundiales de dispositivos médicos y equipos quirúrgicos, descubrió que miles de ordenadores y teléfonos de la empresa habían sido borrados a distancia durante la noche. Los atacantes no usaron un ransomware, sino la herramienta con la que la empresa gestionaba sus propios dispositivos. El grupo Handala, que los investigadores vinculan al ministerio de inteligencia iraní, reivindicó el ataque como represalia por un bombardeo estadounidense en Irán. Pedidos, envíos y producción sufrieron perturbaciones durante casi un mes.
Para quien asume el riesgo cyber el caso reúne tres temas: el ataque destructivo sin rescate, la atribución a un Estado en un contexto de conflicto armado y la interrupción de un gran fabricante del que dependen los hospitales.
Lo que se sabe
El ataque. Durante la noche del 11 de marzo, los dispositivos registrados en el sistema de gestión de dispositivos móviles de Stryker, incluidos ordenadores Windows y teléfonos personales usados para el trabajo, fueron borrados a distancia. La página de acceso de la empresa fue modificada con el logotipo de Handala. En el formulario 8-K presentado ese mismo día, Stryker habló de una interrupción global de su entorno Microsoft, dijo no tener indicios de ransomware ni de malware y no tener fecha para el restablecimiento completo. Algunas sedes volvieron a trabajar con papel y bolígrafo (BleepingComputer).
La reivindicación. Handala afirmó haber borrado más de 200.000 sistemas, servidores y dispositivos móviles y haber obligado a cerrar oficinas en 79 países, presentando el ataque como represalia por el bombardeo de una escuela iraní el 28 de febrero. Stryker envió a casa a más de 5.000 trabajadores en Irlanda. Un médico de un hospital universitario estadounidense contó que no podía pedir con normalidad suministros quirúrgicos, mientras que la American Hospital Association no tenía constancia de interrupciones en los suministros a los hospitales. La empresa tiene unos 56.000 empleados y 25.000 millones de dólares de ventas anuales (KrebsOnSecurity).
El impacto. El 9 de abril Stryker comunicó a la SEC que el ataque había tenido un impacto relevante en los resultados del primer trimestre, pero no en el año completo. Pedidos y envíos se habían interrumpido y la producción se había detenido temporalmente; en el Reino Unido el servicio nacional de salud había activado un sistema de pedidos provisional (Cybersecurity Dive). En el primer trimestre los ingresos crecieron un 2,6%, hasta 6.020 millones de dólares, frente a los 6.330 millones esperados por los analistas, y el consejero delegado dijo que el crecimiento se había visto "significativamente afectado" por el incidente (MassDevice).
La cola. A finales de julio Stryker seguía recuperando los pedidos atrasados, sobre todo de camas hospitalarias, y preveía llevarlos a un nivel manejable antes del final del tercer trimestre. El consejero delegado recordó que la producción había estado parada "durante un largo periodo" (MedTech Dive). Al menos seis demandas fueron presentadas por empleados por no proteger sus datos personales (Paubox).
Lo que no se sabe. No se han hecho públicos el coste total del ataque, la posible cobertura de seguro, cómo obtuvieron los atacantes privilegios en la herramienta de gestión ni el número real de dispositivos borrados. Stryker no ha atribuido el ataque.
Destruir sin pedir nada
Sin rescate, sin negociación. Un ataque destructivo no deja la opción de pagar para recuperar los datos. El daño está entero en la recuperación y en la interrupción. Para quien asume el riesgo, el escenario debe estimarse sin contar con una clave de descifrado ni con una negociación que acorte los plazos.
La herramienta de gestión como arma. Los dispositivos se borraron con la herramienta que la empresa usaba para administrarlos (BleepingComputer). Quien obtiene los privilegios de administración de ese sistema puede afectar a decenas de miles de dispositivos con una orden. Es un control que el cuestionario rara vez examina.
Los dispositivos personales entran en el daño. También se borraron los teléfonos personales registrados para acceder al correo (KrebsOnSecurity). El daño a bienes de los empleados, y las demandas correspondientes, amplían el siniestro más allá de los sistemas de la empresa.
El Estado, la guerra y las exclusiones
Un ataque dentro de un conflicto. Handala presentó el ataque como represalia por una acción militar estadounidense (KrebsOnSecurity). El vínculo con el ministerio de inteligencia iraní procede de los investigadores, no de un gobierno. Stryker no ha atribuido el ataque.
Las exclusiones de guerra a prueba. Las exclusiones por guerra y ataques estatales introducidas en los últimos años suelen fijarse en la atribución por parte de un gobierno y en el efecto sobre la seguridad de un Estado. Un ataque contra una empresa privada, reivindicado por un grupo pantalla y atribuido solo por investigadores, queda en una zona gris. El texto de la póliza debe decir cómo se trata una reivindicación que habla explícitamente de represalia militar.
El objetivo no elige el conflicto. Stryker fue atacada por ser una gran empresa estadounidense, no por su actividad. En un conflicto con componente cyber, el riesgo se desplaza a empresas visibles de un país implicado, con independencia del sector.
La interrupción en un sector crítico
Un mes de producción perturbada. Pedidos, envíos y producción sufrieron perturbaciones durante casi un mes (MedTech Dive). El crecimiento del primer trimestre se vio afectado y los atrasos seguían en julio. El periodo de indemnización debe cubrir la recuperación de los pedidos, no solo la vuelta de los sistemas.
Los hospitales como clientes dependientes. El servicio de salud británico tuvo que activar un sistema de pedidos provisional (Cybersecurity Dive). Para los centros sanitarios, la dependencia de un gran proveedor de dispositivos es una dependencia de cliente a proveedor que la póliza cyber del hospital no suele cubrir si el proveedor no es un servicio informático.
La responsabilidad frente a los clientes. Un fabricante de dispositivos médicos que no entrega puede recibir reclamaciones de sus clientes. Los contratos suelen limitar esa responsabilidad, pero en sanidad la presión es mayor.
Qué llevar a las renovaciones
Impacto para las aseguradorasAlto
Un ataque destructivo reivindicado por un grupo vinculado a Irán borró a distancia miles de dispositivos de un gran fabricante de dispositivos médicos, perturbando durante casi un mes pedidos, envíos y producción.
En cuanto a la cartera, el caso Stryker sugiere considerar el riesgo geopolítico como factor de cúmulo: en un conflicto con componente cyber, las grandes empresas visibles de un país implicado pueden ser atacadas a la vez, con ataques destructivos que no dejan margen para negociar. Es un escenario que debe probarse junto con el texto de las exclusiones.