ANALISI
Stryker, migliaia di dispositivi cancellati: l'attacco distruttivo e le esclusioni di guerra
L'11 marzo 2026 un attacco rivendicato dal gruppo Handala, legato all'Iran, ha cancellato da remoto migliaia di dispositivi di Stryker, fermando per quasi un mese ordini, spedizioni e produzione. L'analisi: distruggere senza riscatto, lo Stato e le esclusioni di guerra, l'interruzione in sanità e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di marzo 2026 · di cybercoverinsurance
L'11 marzo 2026 Stryker, uno dei maggiori produttori mondiali di dispositivi medici e attrezzature chirurgiche, ha scoperto che migliaia di computer e telefoni aziendali erano stati cancellati da remoto durante la notte. Gli attaccanti non hanno usato un ransomware, ma lo strumento con cui l'azienda gestiva i propri dispositivi. Il gruppo Handala, che i ricercatori collegano al ministero dell'intelligence iraniano, ha rivendicato l'attacco come ritorsione per un bombardamento statunitense in Iran. Ordini, spedizioni e produzione sono rimasti disturbati per quasi un mese.
Per chi assume il rischio cyber il caso riunisce tre temi: l'attacco distruttivo senza riscatto, l'attribuzione a uno Stato in un contesto di conflitto armato e l'interruzione di una grande azienda manifatturiera da cui dipendono gli ospedali.
Cosa si sa
L'attacco. Nella notte dell'11 marzo i dispositivi registrati nel sistema di gestione dei dispositivi mobili di Stryker, compresi computer Windows e telefoni personali usati per lavoro, sono stati cancellati da remoto. La pagina di accesso aziendale è stata modificata con il logo di Handala. Nel modulo 8-K depositato lo stesso giorno, Stryker ha parlato di un'interruzione globale del suo ambiente Microsoft, ha detto di non avere indizi di ransomware o malware e di non avere una data per il ripristino completo. Alcune sedi sono tornate a lavorare con carta e penna (BleepingComputer).
La rivendicazione. Handala ha dichiarato di aver cancellato oltre 200.000 sistemi, server e dispositivi mobili e di aver costretto alla chiusura uffici in 79 Paesi, presentando l'attacco come ritorsione per il bombardamento di una scuola iraniana del 28 febbraio. Stryker ha mandato a casa oltre 5.000 lavoratori in Irlanda. Un medico di un ospedale universitario statunitense ha riferito di non poter ordinare normalmente forniture chirurgiche, mentre l'American Hospital Association non era a conoscenza di interruzioni nelle forniture agli ospedali. L'azienda ha circa 56.000 dipendenti e 25 miliardi di dollari di vendite annue (KrebsOnSecurity).
L'impatto. Il 9 aprile Stryker ha comunicato alla SEC che l'attacco aveva avuto un impatto rilevante sui risultati del primo trimestre, ma non sull'intero anno. Ordini e spedizioni erano stati interrotti e la produzione temporaneamente ferma; nel Regno Unito il servizio sanitario nazionale aveva attivato un sistema di ordini provvisorio (Cybersecurity Dive). Nel primo trimestre i ricavi sono cresciuti del 2,6% a 6,02 miliardi di dollari, contro i 6,33 attesi dagli analisti, e l'amministratore delegato ha detto che la crescita era stata "significativamente colpita" dall'incidente (MassDevice).
La coda. A fine luglio Stryker stava ancora recuperando gli arretrati di ordini, in particolare per i letti ospedalieri, e prevedeva di riportarli a un livello gestibile entro la fine del terzo trimestre. L'amministratore delegato ha ricordato che la produzione era rimasta ferma "per un lungo periodo" (MedTech Dive). Almeno sei cause sono state avviate da dipendenti per la mancata protezione dei loro dati personali (Paubox).
Cosa non è noto. Il costo complessivo dell'attacco, l'eventuale copertura assicurativa, come gli attaccanti abbiano ottenuto i privilegi sullo strumento di gestione e il numero reale di dispositivi cancellati non sono stati resi pubblici. Stryker non ha attribuito l'attacco.
Distruggere senza chiedere nulla
Nessun riscatto, nessuna trattativa. Un attacco distruttivo non lascia la possibilità di pagare per riavere i dati. Il danno è tutto nel ripristino e nell'interruzione. Per chi assume il rischio, lo scenario va stimato senza contare su una chiave di decifratura o su una trattativa che accorci i tempi.
Lo strumento di gestione come arma. I dispositivi sono stati cancellati con lo strumento che l'azienda usava per amministrarli (BleepingComputer). Chi ottiene i privilegi di amministrazione di quel sistema può colpire decine di migliaia di dispositivi con un comando. È un controllo che il questionario raramente indaga.
I dispositivi personali entrano nel danno. Anche i telefoni personali registrati per l'accesso alla posta sono stati cancellati (KrebsOnSecurity). Il danno ai beni dei dipendenti, e le relative cause, allargano il perimetro del sinistro oltre i sistemi aziendali.
Lo Stato, la guerra e le esclusioni
Un attacco dentro un conflitto. Handala ha presentato l'attacco come ritorsione per un'azione militare statunitense (KrebsOnSecurity). Il collegamento con il ministero dell'intelligence iraniano viene dai ricercatori, non da un governo. Stryker non ha attribuito l'attacco.
Le esclusioni di guerra alla prova. Le esclusioni per guerra e attacchi di Stato introdotte negli ultimi anni guardano spesso all'attribuzione da parte di un governo e all'effetto sulla sicurezza di uno Stato. Un attacco a un'azienda privata, rivendicato da un gruppo di facciata e attribuito solo da ricercatori, si trova in una zona grigia. Il wording deve dire come si tratta una rivendicazione che parla esplicitamente di ritorsione militare.
Il bersaglio non sceglie il conflitto. Stryker è stata colpita in quanto grande azienda statunitense, non per la sua attività. In un conflitto con una componente cyber, il rischio si sposta su aziende visibili di un Paese coinvolto, indipendentemente dal settore.
L'interruzione in un settore critico
Un mese di produzione disturbata. Ordini, spedizioni e produzione sono rimasti disturbati per quasi un mese (MedTech Dive). La crescita del primo trimestre è stata colpita e gli arretrati si trascinavano ancora a luglio. Il periodo di indennizzo deve coprire il recupero degli ordini, non solo il ritorno dei sistemi.
Gli ospedali come clienti dipendenti. Il servizio sanitario britannico ha dovuto attivare un sistema di ordini provvisorio (Cybersecurity Dive). Per le strutture sanitarie, la dipendenza da un grande fornitore di dispositivi è una dipendenza da cliente a fornitore che la polizza cyber dell'ospedale, di norma, non copre se il fornitore non è un servizio informatico.
La responsabilità verso i clienti. Un produttore di dispositivi medici che non consegna può ricevere richieste dai clienti. I contratti limitano di solito questa responsabilità, ma in sanità la pressione è più alta.
Cosa portare ai rinnovi
Impatto per gli assicuratoriAlto
Un attacco distruttivo rivendicato da un gruppo legato all'Iran ha cancellato da remoto migliaia di dispositivi di un grande produttore di dispositivi medici, fermando per quasi un mese ordini, spedizioni e produzione.
Sul fronte del portafoglio, il caso Stryker suggerisce di considerare il rischio geopolitico come fattore di cumulo: in un conflitto con una componente cyber, le grandi aziende visibili di un Paese coinvolto possono essere colpite insieme, da attacchi distruttivi che non lasciano spazio alla trattativa. È uno scenario da testare insieme al wording delle esclusioni.