Confirmação do incidente de segurança
A Eastman Kodak confirmou um incidente de cibersegurança após o grupo de extorsão ShinyHunters postar uma ameaça em seu site de vazamento na dark web, alegando ter roubado mais de 2,2 milhões de registros contendo informações pessoais identificáveis (PII) de clientes e dados corporativos internos. A gigante da tecnologia de imagem reconheceu que um terceiro não autorizado acessou brevemente "uma quantidade limitada" de dados da empresa, embora a companhia não tenha verificado independentemente o escopo total das alegações do ator de ameaça.
O vazamento foi observado pela primeira vez em 15 de junho de 2026, quando o ShinyHunters, um dos grupos de cibercrime e extorsão mais prolíficos atualmente ativos, listou a Kodak em seu site na dark web. O grupo emitiu um "aviso final" exigindo que a empresa entre em contato até 18 de junho de 2026, ou enfrentaria um vazamento público dos dados exfiltrados junto com o que descreveram como "problemas digitais adicionais (chateadores)".
Declaração oficial e investigação
Em uma declaração fornecida à mídia, a Kodak disse: "A Kodak descobriu recentemente que um terceiro não autorizado acessou ilegalmente uma quantidade limitada de dados da empresa. Engajamos prontamente especialistas externos em cibersegurança para apoiar uma investigação do que foi acessado e copiado. Estamos trabalhando com as autoridades e estamos confiantes de que não há ameaça aos nossos sistemas ou operações".
O ShinyHunters é um sindicato criminoso cibernético bem documentado com um histórico de grandes roubos de dados e campanhas de extorsão que visam organizações em múltiplos setores. Em 2026 sozinho, o grupo assumiu a responsabilidade por violações na Instructure Canvas afetando até 9.000 instituições de ensino, Charter Communications (42 milhões de registros alegados) e clientes do Oracle PeopleSoft em mais de 100 organizações.
Métodos operacionais do grupo criminoso
O grupo tipicamente opera através de engenharia social e ataques de vishing para comprometer credenciais de funcionários antes de exfiltrar dados sensíveis. O ShinyHunters não publicou nenhuma amostra de prova para validar a escala da alegação de violação da Kodak. A Kodak não divulgou quais categorias de PII de clientes foram acessadas, nem confirmou se alguma obrigação formal de notificação de violação foi acionada sob regulamentações de proteção de dados aplicáveis.
Nenhuma interrupção de serviço ou impacto operacional foi relatado até o momento da escrita. A investigação continua em andamento, e a Kodak comprometeu-se a fornecer atualizações adicionais conforme as circunstâncias se desenvolvem. A confirmação deste incidente destaca a necessidade de vigilância contínua e planos de resposta a incidentes robustos para grandes corporações.
Implicações regulatórias e LGPD
Embora a Kodak seja uma empresa americana, a natureza global de seus dados pode implicar em conformidade com regulamentações como a LGPD no Brasil, especialmente se houver clientes brasileiros afetados. A notificação de violação de dados é um requisito crítico sob a LGPD, e a empresa deve avaliar se os dados de cidadãos brasileiros foram comprometidos.
Organizações devem estar preparadas para notificar autoridades e afetados dentro dos prazos legais, especialmente quando há risco de dano significativo. A transparência na comunicação é essencial para manter a confiança dos clientes e mitigar danos reputacionais.
Recomendações para CISOs
1. Revisar planos de resposta a incidentes para garantir conformidade com LGPD e outras regulamentações. 2. Monitorar dark web para menções de credenciais ou dados da organização. 3. Implementar controles de acesso rigorosos e monitoramento de atividades privilegiadas. 4. Realizar auditorias de segurança regulares para identificar vulnerabilidades. 5. Manter comunicação transparente com stakeholders e clientes durante incidentes.