ANALYSES
Stryker, des milliers d'appareils effacés : l'attaque destructrice et les exclusions de guerre
Le 11 mars 2026, une attaque revendiquée par le groupe Handala, lié à l'Iran, a effacé à distance des milliers d'appareils de Stryker, perturbant pendant près d'un mois commandes, expéditions et production. L'analyse : détruire sans rançon, l'État et les exclusions de guerre, l'interruption dans la santé et questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois de mars 2026 · par cybercoverinsurance
Le 11 mars 2026, Stryker, l'un des plus grands fabricants mondiaux de dispositifs médicaux et d'équipements chirurgicaux, a découvert que des milliers d'ordinateurs et de téléphones de l'entreprise avaient été effacés à distance pendant la nuit. Les attaquants n'ont pas utilisé de ransomware, mais l'outil avec lequel l'entreprise gérait ses propres appareils. Le groupe Handala, que les chercheurs relient au ministère du renseignement iranien, a revendiqué l'attaque comme une riposte à une frappe américaine en Iran. Commandes, expéditions et production ont été perturbées pendant près d'un mois.
Pour qui porte le risque cyber, le cas réunit trois thèmes : l'attaque destructrice sans rançon, l'attribution à un État dans un contexte de conflit armé et l'interruption d'un grand industriel dont dépendent les hôpitaux.
Ce que l'on sait
L'attaque. Dans la nuit du 11 mars, les appareils enregistrés dans le système de gestion des appareils mobiles de Stryker, y compris des ordinateurs Windows et des téléphones personnels utilisés pour le travail, ont été effacés à distance. La page de connexion de l'entreprise a été défigurée avec le logo de Handala. Dans le formulaire 8-K déposé le jour même, Stryker a évoqué une perturbation mondiale de son environnement Microsoft, a déclaré n'avoir aucun indice de ransomware ni de logiciel malveillant et n'avoir aucun calendrier de rétablissement complet. Certains sites sont revenus au papier et au stylo (BleepingComputer).
La revendication. Handala a affirmé avoir effacé plus de 200 000 systèmes, serveurs et appareils mobiles et avoir contraint à la fermeture des bureaux dans 79 pays, en présentant l'attaque comme une riposte au bombardement d'une école iranienne le 28 février. Stryker a renvoyé chez eux plus de 5 000 salariés en Irlande. Un médecin d'un hôpital universitaire américain a indiqué ne pas pouvoir commander normalement des fournitures chirurgicales, tandis que l'American Hospital Association n'avait connaissance d'aucune perturbation des approvisionnements des hôpitaux. L'entreprise compte environ 56 000 salariés et 25 milliards de dollars de ventes annuelles (KrebsOnSecurity).
L'impact. Le 9 avril, Stryker a indiqué à la SEC que l'attaque avait eu un impact significatif sur les résultats du premier trimestre, mais pas sur l'année entière. Commandes et expéditions avaient été interrompues et la production temporairement arrêtée ; au Royaume-Uni, le service national de santé avait mis en place un système de commande provisoire (Cybersecurity Dive). Au premier trimestre, le chiffre d'affaires a progressé de 2,6 % à 6,02 milliards de dollars, contre 6,33 milliards attendus par les analystes, et le directeur général a déclaré que la croissance avait été « sensiblement affectée » par l'incident (MassDevice).
La traîne. Fin juillet, Stryker résorbait encore ses retards de commandes, notamment pour les lits d'hôpital, et prévoyait de les ramener à un niveau gérable d'ici la fin du troisième trimestre. Le directeur général a rappelé que la production avait été arrêtée « pendant une longue période » (MedTech Dive). Au moins six actions en justice ont été engagées par des salariés pour défaut de protection de leurs données personnelles (Paubox).
Ce que l'on ne sait pas. Le coût total de l'attaque, l'existence éventuelle d'une couverture d'assurance, la manière dont les attaquants ont obtenu des privilèges sur l'outil de gestion et le nombre réel d'appareils effacés n'ont pas été rendus publics. Stryker n'a pas attribué l'attaque.
Détruire sans rien demander
Pas de rançon, pas de négociation. Une attaque destructrice ne laisse pas la possibilité de payer pour récupérer les données. Le sinistre réside entièrement dans la restauration et l'interruption. Pour qui porte le risque, le scénario doit être estimé sans compter sur une clé de déchiffrement ni sur une négociation qui raccourcirait les délais.
L'outil de gestion comme arme. Les appareils ont été effacés avec l'outil que l'entreprise utilisait pour les administrer (BleepingComputer). Qui obtient les droits d'administration de ce système peut toucher des dizaines de milliers d'appareils d'une seule commande. C'est un contrôle que le questionnaire examine rarement.
Les appareils personnels entrent dans le sinistre. Les téléphones personnels enregistrés pour accéder à la messagerie ont aussi été effacés (KrebsOnSecurity). Les dommages aux biens des salariés, et les actions en justice qui en découlent, élargissent le sinistre au-delà des systèmes de l'entreprise.
L'État, la guerre et les exclusions
Une attaque au cœur d'un conflit. Handala a présenté l'attaque comme une riposte à une action militaire américaine (KrebsOnSecurity). Le lien avec le ministère du renseignement iranien vient des chercheurs, pas d'un gouvernement. Stryker n'a pas attribué l'attaque.
Les exclusions de guerre à l'épreuve. Les exclusions pour guerre et attaques étatiques introduites ces dernières années s'attachent souvent à l'attribution par un gouvernement et à l'effet sur la sécurité d'un État. Une attaque contre une entreprise privée, revendiquée par un groupe écran et attribuée seulement par des chercheurs, se situe dans une zone grise. Le libellé doit dire comment est traitée une revendication qui parle explicitement de riposte militaire.
La cible ne choisit pas le conflit. Stryker a été touchée en tant que grande entreprise américaine, pas en raison de son activité. Dans un conflit doté d'une composante cyber, le risque se déplace vers les entreprises visibles d'un pays impliqué, quel que soit le secteur.
L'interruption dans un secteur critique
Un mois de production perturbée. Commandes, expéditions et production ont été perturbées pendant près d'un mois (MedTech Dive). La croissance du premier trimestre a été touchée et les retards duraient encore en juillet. La période d'indemnisation doit couvrir la résorption des commandes, et pas seulement le retour des systèmes.
Les hôpitaux comme clients dépendants. Le service de santé britannique a dû mettre en place un système de commande provisoire (Cybersecurity Dive). Pour les établissements de santé, la dépendance à un grand fournisseur de dispositifs est une dépendance client-fournisseur que la police cyber de l'hôpital ne couvre en général pas si le fournisseur n'est pas un prestataire informatique.
La responsabilité envers les clients. Un fabricant de dispositifs médicaux qui ne livre pas peut faire l'objet de réclamations de ses clients. Les contrats limitent en général cette responsabilité, mais dans la santé la pression est plus forte.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursÉlevé
Une attaque destructrice revendiquée par un groupe lié à l'Iran a effacé à distance des milliers d'appareils d'un grand fabricant de dispositifs médicaux, perturbant pendant près d'un mois commandes, expéditions et production.
Côté portefeuille, le cas Stryker invite à considérer le risque géopolitique comme un facteur de cumul : dans un conflit doté d'une composante cyber, les grandes entreprises visibles d'un pays impliqué peuvent être touchées ensemble, par des attaques destructrices qui ne laissent aucune place à la négociation. C'est un scénario à tester avec le libellé des exclusions.