Immagina di essere un chirurgo ortopedico che domani deve impiantare una protesi ad un paziente. O un’infermiera che deve controllare il magazzino dei dispositivi salvavita. E all’improvviso il sistema è spento. Tutto cancellato. Non criptato per chiedere un riscatto: proprio cancellato. È successo ieri a Stryker, colosso mondiale della medtech presente in 79 Paesi. Il gruppo Handala, legato all’intelligence iraniana, ha rivendicato un attacco wiper che ha messo offline oltre 200.000 dispositivi, server e telefoni aziendali, rubando 50 terabyte di dati.
Non è fantascienza. È realtà di queste ultime ore (aggiornato al 12 marzo 2026, fonti: NewsNation, PCMag, Krebs on Security, Wall Street Journal, dichiarazioni dirette di Handala su Telegram e X). Mentre scrivo, migliaia di professionisti della sanità in tutto il mondo stanno vivendo esattamente questa frustrazione. E io voglio parlarne con te in modo chiaro, senza allarmismi inutili, ma con la serietà che merita.
Cos’è successo
Mercoledì 11 marzo 2026, intorno alla mezzanotte EST, i dipendenti Stryker hanno visto i loro computer resettarsi in tempo reale. Schermi di login sostituiti dal logo di Handala. Sistemi Microsoft Intune (quello che gestisce telefoni e laptop aziendali) usati come arma per cancellare tutto a distanza.
- 200.000+ sistemi, server e dispositivi mobili cancellati
- 50 terabyte di dati estratti (non solo finanziari: anche protocolli chirurgici, specifiche di dispositivi impiantabili, registri pazienti)
- 79 Paesi colpiti contemporaneamente
- Stryker ha confermato: “global network disruption al nostro ambiente Microsoft”
- Azioni SYK in calo tra il 3,4% e il 4,5% in poche ore
Handala lo ha chiamato “nuovo capitolo della guerra cyber” in risposta ai bombardamenti USA-Israele e all’attacco sulla scuola di Minab in Iran. Non è un ransomware qualunque: è un wiper distruttivo, lo stesso stile usato in passato contro infrastrutture critiche. E nelle ultime ore su X stanno già spuntando claim che il gruppo stia sondando ospedali americani, centrali elettriche e impianti idrici. La guerra ibrida è entrata in sala operatoria.
Come funziona tecnicamente
Non serve essere ingegneri per capirlo. Handala ha sfruttato la catena classica degli attacchi statali:
- Accesso iniziale (probabile phishing AI-generato o supply-chain)
- Escalation fino a controllo di Intune (gestione centralizzata dei dispositivi)
- Push di un wiper che sovrascrive MBR, partizioni e backup
- Cancellazione simultanea su Windows, Linux e dispositivi mobili
Il risultato? Non puoi “pagare e recuperare”. Devi ricostruire da zero. È come se qualcuno entrasse in casa tua e bruciasse non solo i documenti, ma anche i ricordi digitali che tengono in vita i tuoi pazienti.
L’impatto umano ed economico: non è solo un numero
Capisco la preoccupazione di chi mi legge: investitori, CEO di medtech, sviluppatori di sistemi sanitari. Questo attacco non colpisce un’azienda qualunque. Colpisce chi produce robot chirurgici, protesi, sistemi di monitoraggio che oggi tengono in vita migliaia di persone.
Rischi concreti:
- Ritardi chirurgici e carenza di dispositivi (pensiamo ai pazienti in lista d’attesa)
- Possibili class action e multe GDPR/NIS2 fino al 4% del fatturato globale
- Volatilità azionaria (SYK ha già perso terreno)
- Escalation: se Handala passa da medtech a ospedali diretti, il danno diventa incalcolabile
Ma c’è anche un lato positivo, per quanto amaro: questo evento sta accelerando la consapevolezza. Chi ha investito in zero-trust, air-gapping OT e AI per threat hunting oggi dorme sonni più tranquilli. Chi non l’ha fatto… sta correndo ai ripari.
Esempio pratico: come monitorare questi claim in tempo reale (codice Python semplice)
Per non dipendere solo dai giornali, ecco uno snippet che uso io stesso per tenere d’occhio canali Telegram sospetti. Lo condivido con te perché la trasparenza è l’arma migliore.
text
import asyncio
from telethon import TelegramClient
import pandas as pd
from datetime import datetime
async def monitora_handala():
async with TelegramClient('session', api_id, api_hash) as client:
await client.start()
channel = await client.get_entity('handala_channel') # sostituisci con username reale
messages = await client.get_messages(channel, limit=30)
data = []
for m in messages:
if 'stryker' in m.message.lower() or 'wiper' in m.message.lower():
data.append({
'data': m.date,
'testo': m.message[:300],
'views': m.views
})
df = pd.DataFrame(data)
print(df.sort_values('views', ascending=False))
asyncio.run(monitora_handala())Pochi minuti di esecuzione e hai un cruscotto aggiornato. In produzione lo integro con LLM per analizzare il sentiment.
Proiezioni 2026-2027: cosa ci aspetta (e come prepararci insieme)
Non è più “se”, ma “quando” il prossimo wiper colpirà. Le proiezioni basate su Flashpoint, Unit 42 e Intel 471 parlano chiaro:
- +30-40% di attacchi distruttivi su infrastrutture critiche
- Focus crescente su sanità, energia, trasporti
- Uso sempre più massiccio di tool AI per personalizzare phishing e chaining exploit
Ma non voglio lasciarti con angoscia. Voglio darti speranza concreta.
3 cose che puoi fare oggi stesso
- Verifica subito Intune e MDM: se usi Microsoft Intune, attiva l’autenticazione forte e segmenta i dispositivi medici.
- Air-gap dove possibile: i sistemi OT (robot chirurgici, linee di produzione protesi) non devono parlare con internet.
- Investi in AI predittiva: tool EDR/XDR che imparano il “comportamento normale” della tua rete e ti avvisano prima del disastro.
Se sei un investitore, guarda le aziende cyber-resilienti: chi ha già superato un incidente simile oggi vale di più. Se sei uno sviluppatore, impara a integrare LLM locali per threat hunting senza mandare dati fuori.
Conclusione: non siamo soli in questa battaglia
Caro lettore, mentre migliaia di professionisti della sanità stanno riavviando manualmente i loro processi, voglio dirti una cosa semplice: capisco la tua preoccupazione. Ma proprio in questi momenti nascono le innovazioni più belle.
La resilienza non è un costo. È l’unico vantaggio competitivo che nessuno potrà cancellare con un wiper.
