Kodak enfrenta filtración masiva y extorsión por 2,2 millones de registros

Kodak ha confirmado que está investigando un acceso no autorizado a "una cantidad limitada" de datos y ha contratado a expertos externos en ciberseguridad para determinar qué se copió y cómo ocurrió. Aunque la compañía insiste en que sus sistemas y operaciones no están en riesgo, el grupo de extorsión conocido como ShinyHunters ha publicado en su sitio de filtraciones de la dark web una reivindicación que afirma haber exfiltrado más de 2,2 millones de registros con información personal identificable (PII) de clientes y datos corporativos internos, y amenazó con publicarlos si Kodak no contactaba antes del 18 de junio de 2026.

El episodio vuelve a poner sobre la mesa dos realidades que ya no son extraordinarias: por un lado, que hasta empresas centenarias con activos valiosos y recursos para la seguridad pueden sufrir brechas; y por otro, que los grupos de extorsión especializados aprovechan tanto fallos directos como vectores de terceros y servicios en la nube para maximizar su impacto. ShinyHunters, cuya actividad y modus operandi están documentados en fuentes públicas como Wikipedia, ha sido vinculada a numerosas intrusiones previas y a la publicación de grandes volúmenes de datos robados.

Más allá del barniz mediático, el riesgo real para clientes y socios de Kodak incluye la posibilidad de fraude, suplantación de identidad y campañas de phishing dirigidas con datos personales filtrados. Para la propia compañía, las consecuencias potenciales abarcan desde sanciones regulatorias por protección de datos hasta pérdida de confianza comercial y costes de remediación significativos. La amenaza de filtrado por extorsión también altera la toma de decisiones: pagar o no pagar no garantiza la destrucción de las copias ni impide su reventa en el mercado clandestino.

Desde el punto de vista técnico y de gestión, este tipo de incidentes suele implicar fallos en más de una capa: credenciales comprometidas, permisos excesivos en integraciones SaaS, falta de segmentación de red o detección insuficiente en herramientas EDR/SIEM. Además, la investigación forense debe determinar si los atacantes obtuvieron acceso directo a sistemas internos o si la exfiltración provino de proveedores y tercero-partes integrados en el ecosistema digital de la empresa.

Para empresas y responsables de TI hay medidas inmediatas y de seguimiento que reducen el daño y aceleran la recuperación. En lo inmediato conviene activar el plan de respuesta a incidentes, preservar logs y evidencias para la investigación forense, resetear credenciales privilegiadas y forzar la autenticación multifactor donde sea posible. A medio plazo es imprescindible revisar permisos de aplicaciones y cuentas de servicio, segmentar redes críticas, y hacer auditorías de integraciones con terceros para limitar la rotura en cadena que permiten campañas como las atribuidas a ShinyHunters.

En el plano legal y de cumplimiento, las organizaciones deben evaluar las obligaciones de notificación a reguladores y clientes según la jurisdicción, documentar las medidas tomadas y considerar la oferta de servicios de monitoreo de identidad a las personas potencialmente afectadas. La coordinación con fuerzas de seguridad y el intercambio de IoCs (indicadores de compromiso) con la comunidad de respuesta a incidentes puede ayudar a mitigar la reutilización de credenciales en otros objetivos.

Los consumidores y clientes de empresas afectadas también pueden tomar pasos concretos: vigilar comunicaciones inusuales, activar alertas de movimiento en cuentas financieras, cambiar contraseñas únicas y revisar ofertas de protección crediticia si las empresas afectadas las ofrecen. La prevención individual empieza por la desconfianza frente a correos y mensajes no solicitados que aprovechan datos filtrados para hacer el engaño más creíble.

Este suceso ilustra por qué organizaciones de todos los tamaños deben invertir en capacidades de detección y simulación de ataques que prueben reglas de SIEM y EDR antes de que lo haga un adversario. Recursos y buenas prácticas oficiales, como las guías sobre extorsión y respuesta a incidentes publicadas por agencias como CISA o los criterios de respuesta de NIST, ofrecen hojas de ruta prácticas para coordinar mitigación, comunicación y recuperación.

Finalmente, la lección estratégica es clara: la ciberseguridad es tanto técnica como organizativa. La resiliencia depende de una gobernanza que combine prevención, detección temprana, respuesta coordinada y controles sobre proveedores y servicios en la nube. Para empresas que dependen de integraciones externas y datos de clientes, la prioridad es reducir la superficie de ataque y asegurar que, cuando ocurra un incidente, la respuesta sea rápida, documentada y orientada a proteger a las personas afectadas y a restablecer la operación con transparencia.