A violação da Stryker US pode ter começado com credenciais roubadas

Novos relatórios sugerem que o ataque cibernético que afetou a gigante da tecnologia médica Stryker pode ter começado com credenciais coletadas por um malware infostealer em vez de uma exploração de software.

A SecurityWeek informou em 18 de março que Hudson Rock CTO Alon Gal encontrou evidências de credenciais de administrador da Stryker em registros de infostealer, juntamente com outros serviços da Microsoft e credenciais de gerenciamento de dispositivos móveis vinculados à empresa.

Isso não equivale a uma descoberta forense confirmada, e a Stryker não verificou esse caminho de ataque. Em um arquivo da SEC de 11 de marçoa empresa afirmou ter identificado um incidente de segurança cibernética que afetou determinados sistemas de TI e causou uma interrupção global em seu ambiente Microsoft. A Stryker também disse que não tinha nenhuma indicação de ransomware ou malware naquele momento e que sua investigação continuava em andamento.

Evidências apontam para abuso de contas válidas

O relatório mais recente é notável porque oferece uma teoria mais específica sobre como os invasores podem ter obtido acesso. A SecurityWeek disse que relatórios anteriores indicavam que os invasores podem ter abusado do ambiente Microsoft Intune da Stryker depois de comprometer uma conta de administrador e criar uma nova conta de administrador global, que teria sido usada para apagar dispositivos gerenciados.

A análise da Hudson Rock acrescenta uma possível explicação upstream: as credenciais podem já estar circulando nos registros do infostealer antes do incidente. Gal disse que as credenciais associadas à Stryker pareciam ter meses ou até anos de idade, sugerindo que a janela de exposição pode ter começado bem antes do incidente de 11 de março.

A telemetria separada acrescenta suporte, mas não confirmação

Um post de 12 de março do site Lunar Cyber também disse ter observado credenciais relacionadas à Stryker em registros de infostealer durante grande parte de 2025, com aproximadamente 14 conjuntos de credenciais expostos, afetando o Microsoft 365 e portais de terceiros.

Isso não prova que essas credenciais tenham sido usadas na violação, mas corrobora a possibilidade mais ampla de que os dados de acesso relacionados à Stryker tenham sido expostos antes de o incidente se tornar público. O registro da Stryker ainda diz que o escopo completo, a natureza e o impacto do incidente permanecem desconhecidos.

Por enquanto, o quadro mais seguro é que novos relatórios associaram a violação da Stryker a credenciais potencialmente roubadas, mas a investigação da Stryker ainda está em andamento e o caminho exato da invasão não foi oficialmente confirmado.