La cyberattaque contre Stryker en 2026

L'attaque contre Stryker fait référence à la cyberattaque du 11 mars 2026 qui a perturbé les opérations mondiales de Stryker en ciblant son environnement Microsoft interne, notamment via la compromission d’un compte administrateur de sa plateforme de gestion des appareils mobiles (MDM) Intune.  

Plutôt que de recourir à des ransomwares ou à des logiciels malveillants à grande échelle, les pirates ont accédé à des identifiants administratifs privilégiés et ont utilisé les propres systèmes de gestion de Stryker pour émettre des commandes d’effacement à distance et de réinitialisation aux paramètres d’usine sur l’ensemble des appareils de l’entreprise. Cela a eu pour conséquence de rendre inutilisables, en l’espace de quelques heures et dans plusieurs régions, des dizaines de milliers — voire potentiellement plus de 200 000 — de terminaux. 

Cet incident illustre une catégorie de menaces plus large et de plus en plus d'actualité : les attaques visant le plan de gestion, dans lesquelles les attaquants ciblent les systèmes centralisés utilisés pour gérer les appareils, les identités et les politiques. Une fois compromis, ces systèmes offrent un accès immédiat et mondial. La cyberattaque contre Stryker démontre que le contrôle des systèmes administratifs équivaut désormais au contrôle des résultats opérationnels. 

• L'attaque contre Stryker met en évidence des failles croissantes dans la sécurité des appareils mobiles 

11 mars 2026 (aux premières heures) : Des pirates ont réussi à se procurer des identifiants administratifs dotés de privilèges élevés, ce qui leur a permis de prendre le contrôle de la plateforme de gestion des appareils dans le cloud de Stryker. 

11 mars 2026 (en l'espace de quelques heures) : Des commandes à distance coordonnées ont été émises via des outils de gestion légitimes, déclenchant l'effacement massif des données et la réinitialisation aux paramètres d'usine de dizaines de milliers de terminaux à travers le monde, sans recourir à des logiciels malveillants ou à des ransomwares traditionnels.  

11 mars 2026 (le même jour) : Une perturbation opérationnelle généralisée s'est produite : les employés se sont retrouvés privés d'accès aux systèmes et des fonctions essentielles telles que la production, la gestion des commandes et les communications internes ont été fortement affectées dans plusieurs régions.  

Du 11 au 15 mars 2026 : L'organisation a lancé des mesures d'intervention et de confinement, en collaboration avec des partenaires externes spécialisés dans la cybersécurité et des agences gouvernementales, afin d'enquêter sur l'incident, de mettre fin aux accès non autorisés et de stabiliser les systèmes affectés.  

Mi-mars à fin mars 2026 : Les opérations de reprise se sont poursuivies, les systèmes clés ayant été progressivement rétablis et les fonctions opérationnelles remises en service, la priorité étant donnée à la production, aux opérations de la chaîne d'approvisionnement et aux services destinés aux clients. 

L'attaque a été revendiquée publiquement par Handala, un groupe de hacktivistes que de nombreuses évaluations des services de renseignement associent au ministère iranien du Renseignement et de la Sécurité (MOIS). Le groupe a présenté cette opération comme ayant une motivation politique. Une analyse indépendante suggère que cette activité s'apparente davantage à une campagne de perturbation soutenue par un État qu'à une opération cybercriminelle à but lucratif. Bien que l'attribution de la responsabilité des incidents cybernétiques fasse toujours l'objet d'enquêtes en cours, les sources d'information et de renseignement sur les menaces s'accordent de manière constante sur ce lien. 

La cyberattaque contre Stryker visait à transformer un accès administratif compromis en une perturbation opérationnelle à grande échelle en exploitant des voies de gestion fiables, notamment via des plateformes telles que Microsoft Intune. L'objectif des attaquants n'était pas seulement d'obtenir un accès, mais aussi de pouvoir utiliser des outils d'entreprise légitimes pour mener des actions coordonnées et à fort impact dans un environnement mondial. 

Cette activité vise plusieurs objectifs : 

Perturbation opérationnelle 

Les pirates ont utilisé des fonctionnalités d'effacement et de réinitialisation à distance pour paralyser les systèmes internes, perturber les opérations de production et mettre hors service les processus de commande et de logistique, ce qui a eu des répercussions opérationnelles immédiates et généralisées sur l'ensemble des fonctions de l'entreprise à l'échelle mondiale. 

Signalisation stratégique 

En prenant pour cible un important fournisseur de technologies de santé, les pirates ont démontré leur capacité à perturber les chaînes d'approvisionnement essentielles et les infrastructures de santé qui les soutiennent, ce qui témoigne à la fois de leur capacité d'accès et du risque d'un impact plus large sur le secteur. 

Accès aux données (déclaré) 

Les pirates ont affirmé avoir exfiltré d'importants volumes de données avant de mener des actions destructrices. Bien que ces affirmations n'aient pas été vérifiées, elles laissent entrevoir une intention de combiner des actions de perturbation avec une éventuelle fuite de données. 

Impact systémique 

En s'appuyant sur une plateforme de gestion centralisée, les pirates ont veillé à ce que les perturbations ne restent pas isolées. L'utilisation d'outils d'administration de confiance leur a permis de mener des actions coordonnées sur des dizaines de milliers d'appareils, amplifiant ainsi à la fois la rapidité et l'ampleur de l'impact. 

Dans la pratique, l'efficacité de cette stratégie d'attaque dépend du niveau d'accès privilégié obtenu et de l'absence de contrôles régissant les actions à haut risque. Lorsque des commandes destructrices peuvent être exécutées sans autorisation supplémentaire et que les activités administratives à grande échelle ne sont pas détectées en temps réel, les attaquants sont en mesure de transformer un simple point d'accès en une perturbation opérationnelle généralisée. 

La cyberattaque contre Stryker a eu des répercussions considérables à l'échelle mondiale sur l'ensemble des activités de l'entreprise. Des appareils répartis dans 79 pays ont été touchés, et des dizaines de milliers — voire potentiellement plus de 200 000 — de terminaux ont été effacés ou rendus inutilisables. Sur le plan opérationnel, les conséquences ont été immédiates : les processus de fabrication ont été perturbés ; les systèmes de commande et d'expédition ont été mis hors ligne ; et les employés se sont retrouvés dans l'impossibilité d'accéder aux systèmes internes ou aux plateformes de communication. 

Cette perturbation a eu des répercussions au-delà de la société Stryker elle-même. Les prestataires de soins de santé ont été confrontés à des retards et à une incertitude quant à la disponibilité des produits et à la continuité de la chaîne d’approvisionnement. Il est important de noter que Stryker a confirmé que les dispositifs médicaux connectés aux patients et essentiels à la vie n’avaient pas été affectés, grâce à une séparation efficace entre les systèmes informatiques de l’entreprise et les environnements cliniques. Cependant, même en l’absence d’impact direct sur les systèmes cliniques, cet incident montre à quel point une perturbation informatique au sein d’une entreprise peut affecter à grande échelle la prestation de soins de santé essentiels. 

L'attaque contre Stryker souligne la nécessité de sécuriser le plan de contrôle, en particulier les systèmes d'authentification et les plateformes de gestion des appareils telles qu'Intune. 

Renforcer l'identité et les accès administratifs 

Les organisations doivent appliquer rigoureusement le principe du « privilège minimal » à tous les rôles administratifs et supprimer les accès permanents d'administrateur global. L'authentification multifactorielle (MFA) résistante au phishing doit être obligatoire, et les accès privilégiés doivent être limités dans le temps dans la mesure du possible. 

Plateformes de gestion Harden 

Les systèmes de gestion doivent être considérés comme des infrastructures essentielles à la mission. Les actions à haut risque, telles que l'effacement massif de terminaux ou les modifications de politiques, devraient nécessiter une validation supplémentaire ou une approbation multipartite. Les environnements administratifs devraient également être segmentés afin de réduire le risque d'accès latéral. 

Améliorer la surveillance et la détection 

La visibilité est essentielle. Les organisations doivent surveiller tout comportement administratif inhabituel, notamment les commandes à grande échelle, l'escalade de privilèges et les schémas d'accès anormaux. La journalisation centralisée des données issues des systèmes d'identité, des terminaux et des systèmes de gestion permet une détection et une réaction plus rapides. 

Renforcer la résilience opérationnelle 

Les organisations doivent être prêtes à se remettre d'une perturbation à grande échelle. Cela implique notamment de disposer de capacités de reprise hors ligne, d'images de périphériques validées et de tester régulièrement des plans d'intervention en cas d'incident simulant des scénarios de compromission du plan de gestion. 

Ces mesures visent directement les techniques observées lors de l'attaque contre Stryker et contribuent à limiter à la fois la probabilité et l'impact d'incidents similaires. 

L'attaque contre Stryker met en évidence une évolution fondamentale des risques cybernétiques, qui concerne directement les pouvoirs publics et les exploitants d'infrastructures critiques. 

L'identité constitue désormais une surface d'attaque majeure: un seul compte administratif compromis a suffi à provoquer des perturbations à l’échelle mondiale. Les attaquants n’ont pas eu besoin d’exploiter individuellement des milliers de systèmes. Ils se sont appuyés sur un accès privilégié à une couche de contrôle centralisée pour mener à bien leurs objectifs. Pour les dirigeants, cela redéfinit la sécurité des identités comme une exigence opérationnelle — et non plus seulement comme une préoccupation informatique. 

Les systèmes de gestion de confiance peuvent être détournés à des fins malveillantes: Les systèmes de gestion de confiance peuvent être détournés à des fins malveillantes, comme l’ont démontré des plateformes telles que Microsoft Intune, conçues pour offrir une visibilité et un contrôle centralisés sur de vastes parcs d’appareils. Lors de l’incident Stryker, cette même capacité a été exploitée pour émettre des commandes destructrices à grande échelle, mettant en évidence une réalité critique pour les organisations. Les plateformes d’administration de confiance doivent être sécurisées avec le même niveau de rigueur que les systèmes et les terminaux qu’elles gèrent, car une compromission à ce niveau peut rapidement se traduire par une perturbation opérationnelle généralisée. 

Les perturbations des systèmes d'entreprise ont des répercussions sur les missions: Bien que les dispositifs médicaux destinés aux patients n’aient pas été directement touchés, la perturbation des systèmes d’entreprise a affecté les opérations de fabrication, de logistique et de la chaîne d’approvisionnement. Pour les prestataires de soins de santé et les organismes gérant des infrastructures critiques, ces dépendances sont essentielles. Lorsqu’elles sont perturbées, les répercussions vont au-delà du domaine informatique et se répercutent sur la prestation des services dans la vie réelle. 

La compromission du plan de gestion constitue un risque systémique: L'attaque contre Stryker démontre que de nombreuses organisations partagent des dépendances architecturales similaires : gestion centralisée des identités, gestion des appareils dans le cloud et privilèges administratifs étendus.