“Cancellati in una notte”: cyberattacco a Stryker collegato al famigerato gruppo di hacker Handala

Quando i dipendenti di Stryker in tutto il mondo hanno acceso i loro dispositivi di lavoro mercoledì mattina, molti si sono trovati davanti a una sorpresa agghiacciante: i computer erano stati ripuliti, le schermate di accesso mostravano il logo di un noto gruppo di hacker e sistemi aziendali critici erano improvvisamente irraggiungibili. Quello che era iniziato come un misterioso disservizio IT è rapidamente degenerato in un grave incidente informatico-con ripercussioni globali per il colosso dei dispositivi medici da 25 miliardi di dollari e possibili legami con un conflitto internazionale.

Mercoledì, Stryker ha confermato di stare “sperimentando un’interruzione globale della rete” a causa di un cyberattacco che ha colpito il suo ambiente Microsoft. Sebbene l’azienda abbia dichiarato che “non vi è alcuna indicazione di ransomware o malware” e che l’incidente è stato contenuto, i dipendenti hanno dipinto un quadro molto più caotico sui social media. Decine hanno riferito che i loro dispositivi aziendali erano stati azzerati, l’accesso ad app di lavoro ed email era stato interrotto e persino telefoni personali collegati ai sistemi aziendali avevano perso dati.

Alcuni dipendenti che tentavano di accedere hanno visto il logo del gruppo di hacker Handala-un collettivo in precedenza collegato a operazioni cyber basate in Iran e noto per l’impiego di malware distruttivi di tipo wiper. Handala ha rapidamente rivendicato la responsabilità, pubblicando dichiarazioni online e, a quanto pare, inviando email ai dirigenti di Stryker. Il gruppo ha sostenuto che l’attacco fosse una ritorsione per azioni militari statunitensi in Iran e per il più ampio conflitto USA-Israele-Iran, vantandosi di aver cancellato oltre 200.000 dispositivi ed esfiltrato 50 terabyte di dati sensibili.

Il curriculum di Handala è allarmante: solo nell’ultimo anno hanno preso di mira agenzie governative israeliane, sistemi radar e hanno persino inviato falsi allarmi missilistici alle scuole prima di distruggere i sistemi sottostanti. Il loro marchio di fabbrica è l’uso di wiper malware-codice malevolo progettato non per estorcere, ma per annientare i dati e paralizzare le operazioni.

L’impronta globale di Stryker e le sue partnership sensibili-soprattutto con il Dipartimento della Difesa degli Stati Uniti e l’acquisizione nel 2019 della società israeliana OrthoSpace-potrebbero averla resa un bersaglio di alto profilo. Il silenzio dell’azienda sulle affermazioni di Handala e sull’entità della violazione dei dati lascia clienti e partner all’oscuro, mentre i piani di continuità operativa cercano freneticamente di rimettere insieme i pezzi.

L’impatto dell’attacco è stato immediato e grave. In Irlanda, i dipendenti sarebbero stati rimandati a casa mentre le fabbriche si fermavano; altrove, i sistemi telefonici di Stryker hanno ripiegato su criptici messaggi di “emergenza dell’edificio”. L’effetto a catena di una violazione di questo tipo nel settore della tecnologia medica solleva interrogativi urgenti sulla sicurezza delle infrastrutture critiche in un’epoca in cui la guerra cibernetica è sempre più uno strumento del conflitto geopolitico.

Mentre Stryker lavora per ripristinare i propri sistemi e valutare la reale portata dei danni, l’attacco è un duro promemoria: nel mondo di oggi, anche le aziende di tecnologia salvavita sono bersagli in prima linea in guerre invisibili. La prossima violazione potrebbe non limitarsi a cancellare dispositivi, ma interrompere gli stessi sistemi su cui pazienti e ospedali fanno affidamento ogni giorno.

WIKICROOK

• Wiper Malware: Il wiper malware è un software malevolo che elimina o corrompe in modo permanente i file, rendendo impossibile il recupero e causando gravi perdite di dati o l’interruzione dei sistemi.
• Campagna di phishing: Una campagna di phishing è un attacco di massa che utilizza messaggi falsi per indurre gli utenti a rivelare dati sensibili o a installare malware sui propri dispositivi.
• Esfiltrazione: L’esfiltrazione è il trasferimento non autorizzato di dati sensibili dalla rete di una vittima a un sistema esterno controllato dagli attaccanti.
• Continuità operativa: La continuità operativa è la capacità di un’azienda di continuare a funzionare durante e dopo interruzioni, come i cyberattacchi, grazie a piani efficaci e strategie di ripristino.
• Attore di minaccia: Un attore di minaccia è qualsiasi persona, gruppo o entità responsabile dell’avvio o del coordinamento di un cyberattacco o di altre attività malevole nel cyberspazio.