イーストマン・コダックは、悪名高いShinyHunters恐喝グループがダークウェブのリークサイトに脅迫文を投稿したことを受け、サイバーセキュリティインシデントを確認しました。同グループは、顧客の個人識別情報（PII）と社内企業データを含む220万件以上のレコードを窃取したと主張しています。
この映像技術大手は、不正な第三者が「限られた量」の社内データに一時的にアクセスしたことを認めましたが、脅威アクターの主張する被害の全容については独自に確認できていないとしています。
この侵害が最初に確認されたのは2026年6月15日のことで、現在活動中のサイバー犯罪・恐喝グループの中でも特に活発なShinyHuntersが、ダークウェブのリークサイトにコダックを掲載したことで発覚しました。
同グループは「最終警告」を発し、2026年6月18日までに会社側が連絡を取らない場合、窃取したデータを公開するとともに、「迷惑な（デジタル上の）問題」と表現した追加措置を講じると警告しています。
コダックはメディアへの声明の中でこう述べています。「コダックは最近、不正な第三者が違法に限られた量の社内データへ一時的なアクセスを得たことを発見しました。
アクセスおよびコピーされたデータを調査するため、直ちに外部のサイバーセキュリティ専門家を起用しました。法執行機関と連携しており、システムや業務に対する脅威はないと確信しています。」
同社は、アクセスされた顧客PIIの具体的なカテゴリーを開示しておらず、適用されるデータ保護規制に基づく正式な侵害通知義務が発生しているかどうかも明らかにしていません。本稿執筆時点では、サービスの中断や業務への影響は報告されていません。
ShinyHuntersは、複数のセクターの組織を標的に大規模なデータ窃取・恐喝キャンペーンを展開してきた経歴を持つ、実態がよく知られたサイバー犯罪シンジケートです。
同グループは通常、ソーシャルエンジニアリングやビッシング攻撃によって従業員の認証情報を侵害した後、機密データを大量に窃取する手口を使います。2026年だけでも、同グループはいくつかの注目度の高い侵害への関与を主張しています。
その中には、最大9,000の教育機関に影響を与えたInstructure Canvasへの攻撃、約4,200万件のレコードが含まれるとされるチャーター・コミュニケーションズへの侵害、そして100以上の組織にまたがるOracle PeopleSoftの顧客への侵害が含まれます。
コダックへの攻撃の規模にもかかわらず、ShinyHuntersは主張する220万件というレコード数を裏付けるサンプルデータやプレビューを一切公開していません。これは同グループが過去のキャンペーンで被害組織に身代金を支払わせるために用いてきた圧力戦術の一つです。
コダックは、外部のサイバーセキュリティ専門家および法執行機関と協力しながら調査を継続していくとしています。
CSNの報道によると、今回の侵害がGDPR、CCPA、または米国の各州のデータ侵害法などの規制に基づく通知要件を発生させるかどうかについて、同社はまだ確認していません。
ShinyHuntersが恐喝要求に応じない場合にデータを公開してきたという実績を踏まえると、6月18日という期限はコダックの対応に大きな切迫感をもたらしています。
セキュリティ研究者や脅威インテリジェンスアナリストは、今後数日間、同グループのリークサイトでのデータ公開の動向を注視していく見通しです。コダックは、調査の進展に応じて追加情報を提供すると表明しています。
CISOおよびセキュリティリーダーの皆様へ：次の侵害に「顔」はないかもしれません。ISC2のライブウェビナー「Ghost in the Machine」にご参加ください。
翻訳元: https://cyberpress.org/kodak-confirms-data-breach/