Serangan Wiper Stryker: Dugaan Penyalahgunaan Microsoft Intune

Serangan Stryker pada 11 Maret 2026 menunjukkan bahwa akun admin platform manajemen perangkat bisa menjadi senjata penghapus massal tanpa ransomware klasik. Perusahaan teknologi medis itu mengalami gangguan pemrosesan pesanan, produksi, dan pengiriman, dan pemerintah Amerika Serikat mengaitkan Handala, kelompok yang mengklaim serangan ini, dengan intelijen Iran. Menurut SecurityWeek, skenario paling mungkin adalah penyalahgunaan Microsoft Intune.

Apa yang Terjadi

Insiden Stryker terungkap pada 11 Maret 2026. Menurut SecurityWeek (24 Maret 2026), Stryker pada awalnya menyatakan tidak menemukan ransomware atau malware. Belakangan, bersama Unit 42 dari Palo Alto Networks, Stryker menemukan sebuah berkas berbahaya yang dipakai pelaku untuk menjalankan perintah dan menyembunyikan aktivitas selama berada di jaringan. Stryker menyatakan berkas itu tidak dapat menyebar di dalam maupun di luar lingkungannya, dan tidak menemukan aktivitas berbahaya terhadap pelanggan, pemasok, vendor, atau mitra.

TechCrunch dalam rangkuman peretasan 2026 menyebut penyerang menghapus perangkat karyawan dari jarak jauh dalam jumlah puluhan ribu sekaligus, mengganggu operasi selama beberapa hari, dan berdampak material pada pendapatan kuartal pertama Stryker.

Bagaimana Perangkat Bisa Terhapus Tanpa Malware

Platform manajemen perangkat (MDM) seperti Microsoft Intune dirancang agar administrator dapat mengatur, mengunci, dan menghapus perangkat dari jarak jauh. Fungsi menghapus perangkat (wipe) adalah fitur sah, misalnya untuk laptop yang hilang. Jika penyerang menguasai akun administrator yang berhak, fitur yang sama dapat diarahkan ke seluruh armada perangkat.

SecurityWeek menyebut skenario paling mungkin adalah penyalahgunaan instans Intune milik Stryker, dengan indikasi bahwa kredensial diperoleh lewat malware pencuri informasi (infostealer). Itu adalah penilaian media, bukan hal yang dikonfirmasi Stryker maupun Microsoft. Peringatan CISA pada 18 Maret 2026 pun hanya menyebut serangan terhadap Stryker memengaruhi lingkungan Microsoft perusahaan itu, tanpa merinci penyalahgunaan Intune. Karena itu, penyebutan insiden ini sebagai "serangan wiper" perlu hati-hati: Stryker sendiri awalnya menyatakan tidak ada indikasi ransomware atau malware.

Skala, Klaim, dan Atribusi

• Diklaim Handala: lebih dari 200.000 perangkat terhapus. Angka ini tidak dikonfirmasi Stryker. SecurityWeek juga melaporkan Stryker terpaksa menutup kantor di puluhan negara.
• Dikonfirmasi Stryker: gangguan pada pemrosesan pesanan, manufaktur, dan pengiriman, dengan "kemajuan berarti" dalam pemulihan, serta penilaian Palo Alto Networks yang menyatakan insiden telah dikendalikan.
• Atribusi: Handala mengklaim serangan ini. Menurut SecurityWeek, Handala diyakini sebagai persona hacktivist Kementerian Intelijen dan Keamanan Iran (MOIS), dan pemerintah AS secara resmi mengaitkan Handala dengan MOIS serta menurunkan beberapa situs kelompok itu.

FBI juga menerbitkan peringatan tentang malware yang dipakai aktor MOIS, tetapi SecurityWeek menilai malware itu kecil kemungkinan terkait kasus Stryker karena Stryker menyatakan tidak ada malware yang terlibat. Itu penilaian penulis artikel, bukan temuan resmi.

Panduan CISA: Perkuat Sistem Manajemen Endpoint

Setelah insiden ini, CISA mengimbau organisasi memperkuat konfigurasi sistem manajemen endpoint dengan praktik terbaik Intune sebagai acuan, dan menyatakan prinsipnya berlaku untuk perangkat lunak serupa. Tiga kontrol utama yang disorot:

1. Hak akses minimal pada peran admin. Gunakan kontrol akses berbasis peran (RBAC) agar setiap peran hanya memiliki izin yang diperlukan, dan batasi pengguna serta perangkat yang dapat dijangkau peran tersebut.
2. MFA tahan phishing dan kebersihan akses istimewa. Gunakan fitur Microsoft Entra ID seperti Conditional Access, MFA, sinyal risiko, dan kontrol akses istimewa untuk memblokir tindakan privileged yang tidak sah di Intune.
3. Persetujuan multi-admin (Multi Admin Approval). Wajibkan administrator kedua menyetujui perubahan berdampak besar, seperti penghapusan perangkat, penyebaran aplikasi atau skrip, perubahan RBAC, dan perubahan konfigurasi.

Pelajaran dan Langkah Defensif

• Perlakukan akun admin MDM sebagai aset mahkota. Akun ini setara dengan akses ke seluruh armada perangkat. Pisahkan dari akun harian, dan pakai workstation akses istimewa untuk tugas administratif.
• Pantau kredensial yang bocor. Jika infostealer benar menjadi jalur awal, kredensial admin di log pencuri informasi adalah risiko nyata. Pantau layanan intelijen kredensial dan paksa rotasi bila terdeteksi.
• Batasi dampak satu akun. Prinsip zero trust menekankan akses minimal dan verifikasi berkelanjutan, sehingga satu akun yang dikompromikan tidak bisa menghapus seluruh armada.
• Siapkan pemulihan tanpa perangkat. Simpan data penting di layanan terpusat dan siapkan prosedur pendaftaran ulang perangkat serta jalur komunikasi cadangan bila email dan laptop tidak tersedia.
• Latih respons insiden. Wiper tanpa malware tidak selalu terdeteksi antivirus. Pelajari tahapan incident response dan bedakan dengan ransomware, yang menuntut tebusan, sedangkan serangan destruktif bertujuan merusak.
• Aktifkan peringatan untuk tindakan massal. Buat peringatan untuk perintah wipe, perubahan peran admin, dan penyebaran skrip di log audit MDM, lalu tinjau tindakan di luar jam kerja.

Relevansi bagi Organisasi di Indonesia

Banyak perusahaan, rumah sakit, dan instansi di Indonesia mengelola laptop dan ponsel karyawan lewat Intune atau MDM lain. Kasus Stryker bukan tentang kerentanan produk tertentu, melainkan tentang konsentrasi kekuasaan pada akun administrator. Pertanyaan yang layak diajukan ke tim TI Anda: berapa orang yang dapat menghapus seluruh perangkat, apakah akun itu memakai MFA tahan phishing, dan apakah ada persetujuan kedua sebelum tindakan massal.

Baca juga: Pemerasan SaaS lewat Token OAuth: Kasus Salesloft Drift, Gainsight, dan Klue, Serangan Siber Jaguar Land Rover: Produksi Lumpuh Berminggu-minggu.

Pertanyaan yang Sering Diajukan

Apakah serangan Stryker memakai ransomware?

Stryker menyatakan awalnya tidak menemukan ransomware atau malware. Ia kemudian menemukan sebuah berkas berbahaya yang dipakai untuk menjalankan perintah dan menyembunyikan aktivitas, yang menurutnya tidak dapat menyebar.

Apakah benar 200.000 perangkat terhapus?

Itu klaim Handala. Stryker tidak mengonfirmasi angka tersebut, sementara TechCrunch menyebut puluhan ribu perangkat karyawan.

Apakah Intune punya celah keamanan?

Sumber yang dirujuk tidak menyebut kerentanan produk. Dugaan utama menurut SecurityWeek adalah penyalahgunaan instans Intune milik Stryker, tetapi hal ini belum dikonfirmasi Stryker maupun Microsoft.

Apa langkah tercepat yang bisa diterapkan?

Aktifkan MFA tahan phishing pada seluruh akun admin MDM, batasi peran admin dengan RBAC, dan wajibkan persetujuan multi-admin untuk penghapusan perangkat.

Kesimpulan

Serangan Stryker adalah pengingat bahwa ancaman terbesar kadang bukan malware, melainkan akun sah dengan kuasa berlebih. Amankan akun admin MDM, batasi aksi massal, dan latih tim merespons gangguan besar. Jika Anda ingin menguji ketahanan konfigurasi identitas dan manajemen perangkat organisasi Anda, Linuxhackingid menyediakan asesmen keamanan dan penetration testing yang sah dan terotorisasi.