Inbraak bij Stryker VS kan zijn begonnen met gestolen referenties

Nieuwe berichtgeving suggereert dat de cyberaanval die de medische technologiereus Stryker ontwrichtte mogelijk is begonnen met inloggegevens die zijn buitgemaakt door malware van infostealers in plaats van een software-exploit.

SecurityWeek meldde op 18 maart dat Hudson Rock CTO Alon Gal bewijs heeft gevonden van Stryker beheerdersgegevens in infostealer logs, samen met andere Microsoft service en mobile device management gegevens die gekoppeld zijn aan het bedrijf.

Dat is geen bevestigde forensische bevinding en Stryker heeft dat aanvalspad niet geverifieerd. In een SEC filing van 11 maartzei het bedrijf dat het een cyberbeveiligingsincident had geïdentificeerd dat van invloed was op bepaalde IT-systemen en een wereldwijde verstoring van de Microsoft-omgeving veroorzaakte. Stryker zei ook dat het op dat moment geen aanwijzingen had van ransomware of malware en dat het onderzoek nog gaande was.

Bewijs wijst op misbruik van geldige accounts

De nieuwere berichtgeving is opmerkelijk omdat het een specifiekere theorie biedt over hoe de aanvallers mogelijk toegang hebben gekregen. SecurityWeek zei dat eerdere rapporten erop wezen dat de aanvallers mogelijk misbruik hadden gemaakt van Stryker's Microsoft Intune-omgeving door een beheerdersaccount te compromitteren en een nieuwe globale beheerdersaccount aan te maken, die vervolgens naar verluidt werd gebruikt om beheerde apparaten te wissen.

De analyse van Hudson Rock voegt een mogelijke stroomopwaartse verklaring toe: de referenties kunnen al voor het incident in de logboeken van infostealers hebben gecirculeerd. Gal zei dat de referenties die in verband worden gebracht met Stryker maanden of zelfs jaren oud lijken te zijn, wat suggereert dat de blootstelling al lang voor het incident van 11 maart is begonnen.

Afzonderlijke telemetrie voegt ondersteuning toe, maar geen bevestiging

Een bericht van 12 maart van Lunar Cyber zei ook dat het Stryker-gerelateerde referenties had waargenomen in logboeken van infostealers gedurende een groot deel van 2025, met ongeveer 14 blootgestelde referentiesets, die van invloed waren op Microsoft 365 en portals van derden.

Dat bewijst niet dat die referenties gebruikt zijn bij de inbraak, maar het ondersteunt wel de bredere mogelijkheid dat Stryker-gerelateerde toegangsgegevens al blootgesteld waren voordat het incident bekend werd. In het dossier van Stryker staat nog steeds dat de volledige omvang, aard en impact van het incident onbekend zijn.

Op dit moment is het veiligste scenario dat nieuwe rapporten de inbraak bij Stryker in verband hebben gebracht met mogelijk gestolen toegangsgegevens, maar het onderzoek van Stryker is nog gaande en het exacte inbraakpad is nog niet officieel bevestigd.