Attaque wiper de Handala contre Stryker (liée à l'Iran, 2026)

Le 11 mars 2026, le fabricant de dispositifs médicaux Stryker a subi l'un des incidents cyber d'entreprise les plus destructeurs jamais rendus publics. Les attaquants — Handala, un groupe lié à l'Iran qui se présente comme hacktiviste mais a été lié au ministère iranien du Renseignement et de la Sécurité (MOIS) — ont compromis le compte administrateur Microsoft Intune de Stryker et l'ont utilisé pour effacer à distance plus de 200 000 systèmes dans 79 pays.

Ce qui s'est passé

Handala n'a pas déployé de rançongiciel. Ils n'ont pas déployé de logiciel voleur. Ils ont utilisé l'outil légitime de mobilité d'entreprise — Microsoft Intune, qui existe précisément pour permettre à la DSI de pousser des commandes vers des parcs d'appareils — pour émettre des commandes d'effacement distant contre plus de 200 000 serveurs, appareils mobiles et postes de travail d'entreprise de Stryker, y compris les appareils BYOD des employés.

Des employés auraient assisté en temps réel aux effacements. La chaîne d'attaque, telle que reconstituée par Kevin Beaumont, est passée par l'Active Directory de Stryker jusqu'au rôle administratif Intune ; à partir de là, les instructions d'effacement étaient triviales.

Dans un communiqué public, Handala a présenté l'attaque comme une représaille « pour l'attaque brutale contre l'école de Minab et en réponse aux cyberattaques en cours contre les infrastructures » de l'Iran et de ses alliés — l'inscrivant fermement dans le conflit ombre plus large Iran-Israël-États-Unis qui déborde sur des opérations cyber visant des cibles civiles depuis 2024.

Impact

• Plus de 200 000 appareils effacés dans 79 pays — l'un des plus grands incidents cyber destructeurs à frapper une entreprise du secteur privé.
• Systèmes de fabrication, de commandes et de distribution perturbés ; les résultats du T1 2026 affectés.
• Pleine récupération opérationnelle annoncée plus tard en 2026 après un ré-imaging et un ré-enrôlement étendus des terminaux.
• Aucune charge de rançongiciel, aucune charge de logiciel voleur — les attaquants ne s'intéressaient pas à l'argent.

Pourquoi c'est important

Stryker illustre ce à quoi ressemblent les opérations destructrices d'État lorsqu'elles croisent la gestion de la mobilité d'entreprise : un attaquant qui contrôle Intune n'a pas besoin de logiciel malveillant pour effacer un parc mondial. La boîte à outils des défenseurs est l'arme. L'attribution liée à l'Iran — masquant des opérations d'État derrière une persona hacktiviste — est aussi le modèle selon lequel le déni plausible est désormais fabriqué autour des opérations cyber étatiques.