Strykers intrång i USA kan ha börjat med stulna inloggningsuppgifter

Ny rapportering tyder på att cyberattacken som störde den medicintekniska jätten Stryker kan ha börjat med referenser som skördats av infostealer skadlig kod snarare än en mjukvaruutnyttjande.

Säkerhetsvecka rapporterade den 18 mars att Hudson Rock CTO Alon Gal hittade bevis för Stryker-administratörsuppgifter i infostealer-loggar, tillsammans med andra Microsoft-tjänster och mobila enhetshanteringsuppgifter kopplade till företaget.

Detta är inte ett bekräftat kriminaltekniskt fynd och Stryker har inte verifierat den attackvägen. I en SEC-arkivering den 11 marssade företaget att det hade identifierat en cybersäkerhetsincident som påverkade vissa IT-system som orsakade en global störning i Microsoft-miljön. Stryker sade också att man inte hade några indikationer på ransomware eller skadlig kod vid den tidpunkten och att utredningen fortfarande pågick.

Bevis pekar på missbruk av giltiga konton

Den nyare rapporteringen är anmärkningsvärd eftersom den erbjuder en mer specifik teori för hur angriparna kan ha fått tillgång. SecurityWeek sa att tidigare rapporter indikerade att angriparna kan ha missbrukat Strykers Microsoft Intune-miljö efter att ha äventyrat ett administratörskonto och skapat ett nytt globalt administratörskonto, som sedan påstås ha använts för att torka hanterade enheter.

Hudson Rocks analys lägger till en möjlig uppströmsförklaring: referenser kan redan ha cirkulerat i infostealer-loggar före händelsen. Gal sa att de referenser som är associerade med Stryker verkade vara månader eller till och med år gamla, vilket tyder på att exponeringsfönstret kan ha börjat långt före incidenten den 11 mars.

Separat telemetri ger stöd, men inte bekräftelse

Ett inlägg den 12 mars från Lunar Cyber sa också att de hade observerat Stryker-relaterade referenser i infostealer-loggar under stora delar av 2025, med ungefär 14 referenser exponerade, vilket påverkade Microsoft 365 och tredjepartsportaler.

Det bevisar inte att dessa referenser användes i överträdelsen, men det stöder den bredare möjligheten att Stryker-relaterade åtkomstdata hade exponerats innan händelsen blev offentlig. Strykers arkivering säger fortfarande att incidentens fulla omfattning, natur och påverkan förblir okänd.

För närvarande är den säkraste inramningen att ny rapportering har kopplat Stryker-överträdelsen till potentiellt stulna referenser, men Strykers utredning pågår fortfarande, och den exakta intrångsvägen har inte officiellt bekräftats.