Le 11 mars 2026, Stryker, groupe international de technologies médicales, a subi l'une des attaques d'effacement d'appareils les plus massives jamais documentées : 200 000 terminaux réinitialisés en quelques minutes, dans 79 pays, sans qu'aucun malware ni ransomware n'ait été déployé. L'attaque a été attribuée au groupe Handala, lié au ministère iranien du renseignement.

Un compte administrateur, et un outil de gestion légitime

La chaîne d'attaque commence par la compromission d'un compte administrateur existant. Les attaquants créent ensuite un nouveau compte Global Administrator au sein de Microsoft Entra ID, leur donnant un accès complet à la console Microsoft Intune, la plateforme de gestion des appareils de l'entreprise.

C'est là que l'attaque bascule dans quelque chose de particulièrement redoutable : les attaquants n'installent aucun logiciel malveillant. Ils utilisent simplement la fonction « Remote Wipe » (effacement à distance) d'Intune, un outil de gestion parfaitement légitime, normalement destiné à protéger les données d'un appareil perdu ou volé.

Déclenchée à grande échelle, cette même fonction devient une arme de destruction massive : 200 000 appareils réinitialisés en usine simultanément, tous leurs fichiers supprimés, un logo non identifié affiché à l'écran au redémarrage.

Un impact allant jusqu'au bloc opératoire

Stryker étant un acteur majeur des technologies médicales, l'impact a dépassé le cadre informatique : des interventions chirurgicales ont dû être reportées dans certains hôpitaux américains, les équipements ou systèmes de support dépendant des appareils affectés.

Pourquoi cette attaque doit alerter toute organisation utilisant du MDM

Cette attaque ne repose sur aucune vulnérabilité logicielle : c'est un détournement pur de privilèges légitimes. N'importe quelle organisation utilisant une solution de gestion d'appareils mobiles (MDM), Intune ou équivalent, est structurellement exposée au même scénario si un compte à privilèges élevés est compromis.

Nos recommandations

  • Exiger une double validation pour toute action critique dans Intune (effacement à distance, suppression en masse)
  • Déployer une authentification multifacteur résistante au phishing (FIDO2, Windows Hello, certificats) pour tous les comptes à privilèges
  • Appliquer strictement le principe du moindre privilège : restreindre les droits d'administration aux seules fonctions nécessaires
  • Auditer régulièrement la sécurité de votre environnement Microsoft 365 dans son ensemble, y compris la gouvernance des comptes à privilèges

C'est exactement ce type de scénario, la compromission d'un compte légitime menant à un abus d'outils d'administration existants, que nous testons lors de nos missions Red Team et que nous cherchons à prévenir via nos audits de conformité Microsoft 365.