Kodak fait face à une filtration et à une extorsion massives de 2,2 millions de disques

Kodak a confirmé qu'il enquête sur l'accès non autorisé à « une quantité limitée » de données et a engagé des experts externes en cybersécurité pour déterminer ce qui a été copié et comment cela s'est produit. Bien que la société insiste pour que ses systèmes et ses opérations ne soient pas en danger, le groupe d'extorsion connu sous le nom de Des chasseurs brillants a publié sur son site Web des fuites sombres une allégation qui prétend avoir exfiltré plus que 2,2 millions d'enregistrements avec des renseignements personnels identifiables (IPI) des clients et des données internes de l'entreprise, et menacé de les publier si Kodak n'a pas communiqué avant le 18 juin 2026.

L'épisode remplace sur la table deux réalités qui ne sont plus extraordinaires: d'une part, que même les sociétés centenaires avec des actifs précieux et des ressources de sécurité peuvent souffrir de lacunes; et d'autre part, que les groupes d'extorsion spécialisés profitent à la fois des défaillances directes et des vecteurs tiers et des services cloud pour maximiser leur impact. ShinyHunters, dont l'activité et le modus operandi sont documentés dans des sources publiques telles que Wikipédia a été liée à de nombreuses intrusions antérieures et à la publication de volumes importants de données volées.

Au-delà du vernis médiatique, le risque réel pour les clients et les partenaires de Kodak inclut la possibilité de fraude, de substitution d'identité et d'hameçonnage avec des données personnelles filtrées. Pour l'entreprise elle-même, les conséquences potentielles vont des sanctions réglementaires en matière de protection des données à la perte de confiance commerciale et à des coûts d'assainissement importants. La menace de filtrage de l'extorsion modifie également la prise de décision : payer ou ne pas payer ne garantit pas la destruction des copies ni n'empêche leur revente sur le marché clandestin.

Du point de vue technique et de la gestion, ce type d'incident implique souvent des défaillances dans plus d'une couche : des qualifications engagées, des permis excessifs dans les intégrations SaaS, un manque de segmentation du réseau ou une détection insuffisante dans les outils EDR / SIEM. De plus, l'enquête médico-légale doit déterminer si les attaquants ont obtenu un accès direct aux systèmes internes ou si l'exfiltration provient de fournisseurs et de tiers intégrés à l'écosystème numérique de l'entreprise.

Pour les entreprises et les gestionnaires informatiques, il existe des mesures immédiates et de suivi qui réduisent les dommages et accélèrent la récupération. Il convient d'activer le plan d'intervention en cas d'incident, de conserver les registres et les éléments de preuve aux fins d'une enquête médico-légale, de réinitialiser les titres de compétence privilégiés et de forcer l'authentification multifactorielle dans la mesure du possible. À moyen terme, il est essentiel d'examiner les autorisations d'application et les comptes de service, de segmenter les réseaux critiques et d'effectuer des audits d'intégration avec des tiers pour limiter la rupture de chaîne qui permet des campagnes telles que celles attribuées à ShinyHunters.

Au niveau juridique et de l'application de la loi, les organisations devraient évaluer les obligations en matière de rapports aux organismes de réglementation et aux clients en fonction de leur compétence, documenter les mesures prises et envisager de fournir des services de surveillance de l'identité aux personnes potentiellement touchées. La coordination avec les forces de sécurité et l'échange d'IoC (indicateurs d'engagement) avec la communauté d'intervention en cas d'incident peut aider à atténuer la réutilisation des titres de compétences pour d'autres objectifs.

Les consommateurs et les clients des entreprises concernées peuvent également prendre des mesures concrètes: surveiller les communications inhabituelles, activer les alertes de mouvement dans les comptes financiers, modifier les mots de passe uniques et revoir les offres de protection du crédit si les entreprises concernées les offrent. La prévention individuelle commence par la méfiance envers les courriels et les messages non sollicités qui utilisent des données filtrées pour rendre la tromperie plus crédible.

Cet événement illustre pourquoi les organisations de toutes tailles devraient investir dans les capacités de détection et de simulation des attaques qui testent les règles de l'IMS et de l'EDR avant qu'un adversaire ne le fasse. Ressources officielles et bonnes pratiques, telles que les directives sur l ' extorsion et l ' intervention en cas d ' incidents publiées par des organismes tels que CISA ou les critères d'intervention du NIST, offrent des feuilles de route pratiques pour coordonner l'atténuation, la communication et le rétablissement.

Enfin, la leçon stratégique est claire : la cybersécurité est à la fois technique et organisationnelle. La résilience dépend de la gouvernance qui combine prévention, détection précoce, intervention coordonnée et contrôle des fournisseurs et des services cloud. Pour les entreprises qui dépendent de l'intégration externe et des données clients, la priorité est de réduire la surface de l'attaque et de veiller à ce que, en cas d'incident, la réponse soit rapide, documentée et visant à protéger les personnes concernées et à rétablir l'opération avec transparence.