La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) ha emitido una alerta urgente instando a las organizaciones a reforzar las configuraciones de sus sistemas de gestión de endpoints tras un ciberataque contra Stryker Corporation, una empresa estadounidense de tecnología médica, el 11 de marzo de 2026.

El ataque tuvo como objetivo el entorno Microsoft de Stryker y ha llevado a CISA a coordinarse con el Buró Federal de Investigaciones (FBI) para identificar amenazas adicionales y determinar estrategias de mitigación más amplias.

El ciberataque contra Stryker Corporation pone de relieve una tendencia creciente de actores maliciosos que atacan plataformas de gestión de endpoints, en particular Microsoft Intune, para obtener acceso privilegiado en entornos empresariales.

Al comprometer estos sistemas, los atacantes pueden desplegar aplicaciones maliciosas, alterar configuraciones de dispositivos, borrar endpoints y moverse lateralmente a escala dentro de la infraestructura de una organización.

La alerta de CISA hace referencia específica al mal uso de software legítimo de gestión de endpoints como el principal vector de ataque, subrayando la necesidad de endurecer los controles administrativos incluso dentro de herramientas de confianza.

Recomendaciones clave de CISA

En respuesta a la brecha, CISA insta a todas las organizaciones a implementar las mejores prácticas recientemente publicadas por Microsoft para asegurar Microsoft Intune. Estas recomendaciones van más allá de Intune y pueden aplicarse ampliamente a otras plataformas de gestión de endpoints.

Diseño de roles con privilegios mínimos: Las organizaciones deben aprovechar el marco de control de acceso basado en roles (RBAC) de Microsoft Intune para asignar solo los permisos mínimos necesarios para cada rol administrativo. Esto incluye delimitar estrictamente qué acciones puede realizar un rol y a qué usuarios y dispositivos puede afectar, reduciendo el radio de impacto en caso de que se comprometa una cuenta.

MFA resistente a phishing e higiene de acceso privilegiado: CISA recomienda encarecidamente implementar autenticación multifactor (MFA) resistente a phishing en todas las cuentas privilegiadas. Deben desplegarse capacidades de Microsoft Entra ID, incluidas políticas de Acceso Condicional, señales basadas en riesgo y controles de acceso privilegiado, para bloquear accesos no autorizados a acciones de Intune con altos privilegios.

Las organizaciones también deben revisar sus implementaciones de Gestión de Identidad Privilegiada (PIM) en Intune, Entra ID y servicios Microsoft conectados para garantizar que el acceso justo a tiempo sea la norma, no una excepción.

Aprobación multiadministrador para operaciones sensibles: Uno de los controles más críticos destacados en la alerta es habilitar la Aprobación Multiadministrador en Microsoft Intune. Esta política requiere que una segunda cuenta administrativa apruebe cambios en acciones sensibles o de alto impacto, como el borrado de dispositivos, despliegues de scripts, envíos de aplicaciones, modificaciones de RBAC y cambios en perfiles de configuración. Implementar este control garantiza que ninguna cuenta comprometida pueda ejecutar unilateralmente cambios destructivos o de gran alcance en el entorno.

CISA ha complementado su alerta con una lista de recursos de Microsoft y CISA para ayudar a las organizaciones a fortalecer sus defensas. Estos incluyen guías sobre implementación de principios Zero Trust en Intune, despliegue de políticas RBAC, configuración de Acceso Condicional y aplicación de MFA resistente a phishing, un control crítico dado el aumento de la sofisticación en técnicas de robo de credenciales y secuestro de sesiones por parte de adversarios.

Las plataformas de gestión de endpoints como Microsoft Intune son objetivos de alto valor precisamente por el poder administrativo que ejercen sobre los entornos empresariales. Un solo rol mal configurado o una cuenta privilegiada comprometida puede dar a los atacantes control sobre miles de endpoints simultáneamente.

La guía de CISA es un llamado oportuno para que las organizaciones de todos los sectores, especialmente aquellas en infraestructuras críticas, auditen sus configuraciones de Intune antes de que los actores maliciosos exploten debilidades similares.