La brecha de Stryker US pudo comenzar con credenciales robadas

Nuevos informes sugieren que el ciberataque que perturbó al gigante de la tecnología médica Stryker puede haber comenzado con credenciales cosechadas por malware infostealer en lugar de un exploit de software.

SecurityWeek informó el 18 de marzo de que Hudson Rock CTO Alon Gal encontró pruebas de credenciales de administrador de Stryker en los registros del infostealer, junto con otras credenciales de servicios de Microsoft y de gestión de dispositivos móviles vinculadas a la empresa.

Eso no equivale a un hallazgo forense confirmado, y Stryker no ha verificado esa ruta de ataque. En una presentación a la SEC del 11 de marzo https://www.sec.gov/Archives/edgar/data/310764/000119312526102460/d76279d8k.htmla empresa dijo que había identificado un incidente de ciberseguridad que afectaba a determinados sistemas informáticos y que causó una interrupción global en su entorno Microsoft. Stryker también dijo que no tenía indicios de ransomware o malware en ese momento y que su investigación seguía en curso.

Las pruebas apuntan al abuso de cuentas válidas

El informe más reciente es notable porque ofrece una teoría más específica de cómo los atacantes pueden haber obtenido acceso. SecurityWeek dijo que informes anteriores indicaban que los atacantes podrían haber abusado del entorno Microsoft Intune de Stryker tras comprometer una cuenta de administrador y crear una nueva cuenta de administrador global, que luego se utilizó supuestamente para borrar los dispositivos gestionados.

El análisis de Hudson Rock añade una posible explicación previa: es posible que las credenciales ya estuvieran circulando en los registros de infosteadores antes del incidente. Gal dijo que las credenciales asociadas a Stryker parecían tener meses o incluso años de antigüedad, lo que sugiere que la ventana de exposición puede haber comenzado mucho antes del incidente del 11 de marzo.

La telemetría separada añade apoyo, pero no confirmación

Un post del 12 de marzo de Lunar Cyber también dijo que había observado credenciales relacionadas con Stryker en los registros de infosteadores durante gran parte de 2025, con unos 14 conjuntos de credenciales expuestos, que afectaban a Microsoft 365 y a portales de terceros.

Eso no prueba que esas credenciales se utilizaran en la brecha, pero respalda la posibilidad más amplia de que los datos de acceso relacionados con Stryker hubieran estado expuestos antes de que el incidente se hiciera público. La presentación de Stryker sigue diciendo que el alcance total, la naturaleza y el impacto del incidente siguen siendo desconocidos.

Por ahora, el encuadre más seguro es que los nuevos informes han vinculado la brecha de Stryker a credenciales potencialmente robadas, pero la investigación de Stryker sigue en curso, y la ruta exacta de la intrusión no ha sido confirmada oficialmente.