La empresa gigante de tecnología médica «Stryker» confirmó el lunes que el ciberataque ocurrido el 11 de marzo, que paralizó sus operaciones globales, ha sido completamente contenido. La empresa continúa trabajando contrarreloj para restablecer los sistemas de pedidos y envíos que sufrieron graves interrupciones, después de que piratas informáticos vinculados a Irán utilizaran las herramientas de gestión de dispositivos de la compañía como un arma destructiva para borrar los datos de decenas de miles de dispositivos de empleados en decenas de países de todo el mundo.
Este ataque, reivindicado por el grupo de piratería proiraní conocido como «Hanzala», se considera una de las operaciones cibernéticas más destructivas llevadas a cabo jamás contra una importante empresa estadounidense. Asimismo, este ataque representa un punto de inflexión destacado, ya que es la primera vez que el grupo apunta a una gran organización estadounidense en lugar de a sus objetivos habituales israelíes.
¿Cómo ocurrió el devastador ataque?
En su última sesión informativa para clientes el 23 marca, «Stryker» reveló que, a pesar de su creencia inicial de que no existía software malicioso, los investigadores de la Unidad 42 de «Palo Alto Networks» descubrieron posteriormente un archivo malicioso utilizado por los atacantes para ejecutar comandos y ocultar su actividad dentro de los sistemas de la empresa. La compañía subrayó que el archivo no era capaz de propagarse por sí mismo y que no se dirigió ninguna actividad maliciosa hacia clientes, proveedores o socios.
Según informes especializados en seguridad de la información, los atacantes lograron infiltrarse en una cuenta de administrador en la plataforma «Microsoft Intune» para crear una nueva cuenta de administrador global. A través de esta cuenta vulnerada, los piratas informáticos emitieron órdenes de borrado remoto que provocaron la eliminación de los datos de aproximadamente 80 000 dispositivos entre las 5:00 y las 8:00 a. m. UTC del 11 de marzo. Por su parte, el grupo «Hanzala» afirmó haber logrado borrar más de 200 000 dispositivos en 79 países, aunque los investigadores pusieron en duda varias de las afirmaciones del grupo, incluida su pretensión de haber robado 50 terabytes de datos confidenciales.
Empleados en Irlanda, Estados Unidos, Australia e India descubrieron que sus ordenadores portátiles, teléfonos y servidores habían sido completamente borrados, con el logotipo de «Hanzala» mostrado en las pantallas de inicio de sesión. «Stryker» se vio obligada a enviar a casa a más de 5000 trabajadores de sus operaciones solo en Irlanda y cerró sus oficinas en todo el mundo. El ataque interrumpió el procesamiento de pedidos, la fabricación y los envíos, aunque la empresa aseguró que sus dispositivos médicos, incluidos los robots quirúrgicos y los desfibriladores, se mantuvieron completamente seguros para su uso.
Antecedentes geopolíticos y reacciones estadounidenses
El grupo «Hanzala» enmarcó este ataque como una venganza por un ataque con misiles estadounidense dirigido contra una escuela en la ciudad iraní de Minab, que causó la muerte de más de 175 personas al comienzo del conflicto entre Estados Unidos e Irán a finales de febrero de 2026. El grupo, al que los investigadores de ciberseguridad vinculan con el Ministerio de Inteligencia y Seguridad de Irán, se centraba anteriormente en objetivos israelíes antes de intensificar sus operaciones para atacar a una gran empresa estadounidense de esta magnitud.
El Departamento de Justicia de Estados Unidos actuó con rapidez al incautar 4 dominios de Internet utilizados por «Hanzala» para reivindicar la responsabilidad de las intrusiones, publicar datos robados y emitir amenazas de muerte contra periodistas y disidentes. El Departamento de Justicia calificó estos sitios web como herramientas para operaciones de piratería y esquemas de represión transfronteriza gestionados por el Ministerio de Inteligencia iraní. El grupo reconoció la incautación a través de la aplicación Telegram, calificándola de «intento desesperado por silenciar nuestra voz», y posteriormente reanudó sus operaciones a través de un nuevo dominio.
Una nueva generación de ciberataques
La técnica de vivir de la tierra y las advertencias de los expertos
«Esta es una advertencia de muy alta gravedad, es una llamada de atención para todas las organizaciones» – Exdirector de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos.
Los analistas de ciberseguridad afirman que este incidente representa un cambio importante en las operaciones cibernéticas destructivas. En lugar de desplegar ransomware o malware personalizado, los atacantes utilizaron una técnica avanzada transformando la infraestructura en la nube para la gestión de dispositivos de «Stryker» en un arma letal contra la propia compañía.
«Stryker» está considerada una de las empresas globales más destacadas en el ámbito de la tecnología médica, y sus productos desempeñan un papel vital para salvar vidas y facilitar cirugías complejas en hospitales y clínicas de todo el mundo. Por lo tanto, cualquier interrupción en la cadena de suministro o retraso en la entrega de dispositivos médicos puede tener graves repercusiones en todo el sector sanitario.
Además de esto, el uso de tecnologías modernas en la intrusión genera una creciente preocupación entre los expertos en ciberseguridad. Este método se basa en el empleo de herramientas legítimas y ya existentes dentro del entorno de tecnología de la información de la víctima, lo que hace que la detección del ataque sea extremadamente difícil. La plataforma de gestión de dispositivos funcionó exactamente tal como fue diseñada, pero el fallo radica en cómo se aseguró el acceso con altos privilegios a la plataforma. Las presentaciones de la empresa ante la Comisión de Bolsa y Valores (SEC) advirtieron de que los efectos operativos y financieros completos siguen sin conocerse por el momento, incluso con sus sistemas de transacciones principales en una trayectoria clara hacia la recuperación completa.
Preguntas frecuentes
¿Cuál es el ciberataque que sufrió la empresa Stryker?
La empresa Stryker sufrió un ciberataque devastador el 11 de marzo que paralizó sus operaciones globales, en el que piratas informáticos irrumpieron en los sistemas de gestión de dispositivos y borraron los datos de decenas de miles de dispositivos de los empleados.
¿Quién es la entidad responsable del ataque?
El grupo de piratas informáticos «Hanzala», vinculado a Irán, reivindicó la responsabilidad del ataque, considerado su primer objetivo directo contra una gran empresa estadounidense en represalia por un ataque militar estadounidense en Irán.
¿Se vieron afectados los dispositivos médicos de la empresa por este ataque?
No, la empresa confirmó que sus dispositivos médicos, incluidos los robots quirúrgicos y los desfibriladores, no se vieron afectados y permanecieron completamente seguros para su uso médico.
¿Cómo llevaron a cabo los piratas informáticos su ataque sin utilizar ransomware tradicional?
Los atacantes utilizaron un método avanzado basado en el uso indebido de la infraestructura en la nube legítima de la empresa y de las herramientas de gestión, logrando tomar el control de las cuentas administrativas para emitir órdenes de borrado de dispositivos de forma remota.
