Eastman Kodak confirme une fuite de données revendiquée par ShinyHunters

Le 17 juin 2026, Eastman Kodak — l'entreprise d'imagerie centenaire de Rochester, dans l'État de New York, aujourd'hui centrée sur l'impression commerciale, les matériaux avancés et la chimie — a confirmé un incident de cybersécurité après que le prolifique groupe d'extorsion ShinyHunters l'a inscrite sur son site de fuite du dark web et a menacé de publier des données qu'il prétendait avoir dérobées.

Ce qui s'est passé

ShinyHunters a inscrit Kodak vers le 15 juin 2026, affirmant détenir plus de 2,2 millions d'enregistrements contenant des données personnelles (PII) de clients ainsi que des données internes de l'entreprise, et a fixé au 18 juin 2026 la date limite pour que la société réponde avant de divulguer le contenu. Le chiffre de 2,2 millions est la propre affirmation des attaquants et n'a été vérifié de manière indépendante ni par Kodak ni par les chercheurs en sécurité.

Dans un communiqué, Kodak a indiqué qu'un tiers non autorisé avait illégalement obtenu un accès temporaire à une quantité limitée de données de l'entreprise. La société a déclaré avoir immédiatement fait appel à des experts externes en cybersécurité pour soutenir une enquête, coopérer avec les forces de l'ordre et être convaincue qu'il n'existe aucune menace pour ses systèmes ou ses opérations. Kodak n'a pas confirmé l'ampleur ni le nombre d'enregistrements avancés par les attaquants.

Pourquoi c'est important

ShinyHunters s'est imposé comme l'un des groupes d'extorsion les plus actifs de 2025-2026, multipliant les inscriptions de type « name-and-shame » contre des marques connues et faisant pression sur les victimes au moyen de délais de publication publics plutôt que par chiffrement de fichiers. L'inscription de Kodak suit ce schéma : un nom d'entreprise reconnaissable, une revendication non vérifiée portant sur des millions d'enregistrements et un compte à rebours court conçu pour forcer un paiement rapide. Pour Kodak, l'exposition immédiate est réputationnelle et — si des données personnelles de clients figurent réellement dans l'ensemble dérobé — pourrait entraîner des obligations de notification et de conformité réglementaire, même si l'entreprise affirme que ses systèmes opérationnels n'ont pas été touchés.