Kodak conferma un breach "limitato", ma ShinyHunters rivendica 2,2 milioni di

Il 15 giugno 2026, alle 14:24 UTC, ShinyHunters ha inserito kodak.com nel proprio sito di leak con una scadenza di tre giorni. Il gruppo ha rivendicato l'esfiltrazione di oltre 2,2 milioni di record contenenti PII di clienti e dati aziendali interni, minacciando la pubblicazione entro il 18 giugno. Kodak ha confermato l'accesso non autorizzato solo in quella data, con una formula che ha creato un divario narrativo destinato a durare: "una quantità limitata di dati aziendali". Tra questi due estremi — il numero massiccio dell'attaccante e la minimizzazione istituzionale della vittima — si gioca una partita più ampia su chi detenga il controllo dell'informazione in un'era di estorsione senza cifratura.

La tattica delle 72 ore: estorsione senza prova, incertezza come arma

Il post sul sito di leak di ShinyHunters, riprodotto da ransomware.live e riportato da Tech-Insider, conteneva una formula ormai standardizzata per il gruppo: "Over 2.2 million records containing customer PII and other internal corporate data was compromised. This is a final warning to reach out by 18 June 2026 before we leak along with several annoying (digital) problems that'll come your way." La minaccia di "problemi digitali fastidiosi" accompagna tipicamente la pubblicazione dei dati, ma la caratteristica distintiva di questa operazione è ciò che non è stato mostrato: nessun campione di prova è stato rilasciato prima della scadenza, come confermato da gblock.app e TechTimes.

Questa assenza è coerente con la metodologia documentata di ShinyHunters. Secondo Kaspersky Securelist, il gruppo rappresenta un esempio significativo di estorsione basata esclusivamente sul furto di dati, senza fase di cifratura. Il modello elimina la rilevanza dei backup: non c'è nulla da ripristinare, né sistema da ricostruire. L'unica leva è la minaccia di esposizione pubblica, e il valore di quella minaccia dipende dalla credibilità percepita. Contrastando la rivendicazione di 2,2 milioni di record con il silenzio sulla sua verifica, ShinyHunters ha trasformato l'informazione stessa in terreno di scontro.

La finestra di tre giorni — dal 15 al 18 giugno — è funzionale a questa dinamica. Allison Nixon, chief research officer di Unit 221B, ha descritto a PCMag la logica operativa: "Si affidano all'intensità della manipolazione emotiva per costringerti a una decisione immediata, entro 72 ore, di pagare il riscatto. Non hanno un argomento convincente sul perché dovresti pagare." La pressione temporale comprime la capacità della vittima di condurre analisi forensi, consultare autorità o comunicare con stakeholder. Kodak ha dichiarato di aver "prontamente attivato esperti di cybersecurity esterni", ma la tempistica ha evidentemente compresso ogni spazio per una verifica pubblica del volume reale.

La risposta di Kodak: "quantità limitata" contro il vuoto informativo

La conferma ufficiale di Kodak, rilasciata a BleepingComputer il 18 giugno 2026, contiene tre elementi che definiscono i confini del conosciuto. Primo: "un soggetto terzo non autorizzato ha ottenuto illegalmente accesso temporaneo a una quantità limitata di dati aziendali". Secondo: l'attivazione di esperti esterni e la cooperazione con le forze dell'ordine. Terzo: la fiducia che "non ci sia alcuna minaccia per i nostri sistemi o operazioni". Ciò che manca è altrettanto significativo: nessuna verifica della cifra di 2,2 milioni di record, nessuna specifica sulle categorie di dati coinvolti (PII di clienti, dipendenti, dati finanziari, proprietà intellettuale), nessuna risposta sulla questione se l'accesso abbia riguardato la rete interna o ambienti SaaS/cloud.

"Kodak recently discovered that an unauthorized third party illegally gained temporary access to a limited amount of company data. We promptly engaged external cybersecurity experts to support an investigation of what data was accessed and copied." — Portavoce Kodak a BleepingComputer

La formula "limited amount" ha generato un effetto di spostamento semantico. I titoli di gblock.app — "Kodak Confirms ShinyHunters Breach, 2.2M Records" — sovrappongono la conferma dell'incidente alla verifica del numero, che invece non è avvenuta. Questo slittamento è sistematico nel reporting sui breach: la dichiarazione della vittima viene letta attraverso il filtro della rivendicazione dell'attaccante, producendo un dato aggregato che nessuna delle due parti ha effettivamente convalidato. Per clienti, partner commerciali e fornitori di Kodak, il risultato è un'asimmetria informativa che impedisce qualsiasi stima del rischio effettivo.

Il profilo DNS pubblico di Kodak — documentato da ransomware.live con presenza di Salesforce, Adobe, Atlassian, DocuSign e TeamViewer — aggiunge un livello di complessità senza tuttavia fornire evidenza di exploit. I record DNS sono ricognizione pubblica, non prova di vulnerabilità sfruttata. ShinyHunters ha incluso nel proprio portfolio 2026 campagne basate su misconfiguration di Salesforce e sulla zero-day Oracle PeopleSoft CVE-2026-35273, con CVSS 9.8, ma nessuna fonte collega questi vettori specifici all'incidente Kodak. Il vettore di accesso iniziale resta non determinato.

Il contesto operativo: ShinyHunters nel 2026, tra accelerazione e attenzione delle autorità

Il ritmo delle attività di ShinyHunters ha segnato un'accelerazione misurabile nel 2026. Secondo tracciatori citati da Tech-Insider e TechTimes, il gruppo aveva superato le 100 vittime entro metà anno, su un totale cumulativo di oltre 400 dal 2020. The Register riportava 86 vittime elencate sul sito di leak al 6 luglio 2026; Paubox stimava 132 vittime cumulative per il 2026 alla fine di luglio. Questi numeri, pur con le differenze metodologiche tra tracker, indicano una pressione operativa sostenuta che rende plausibile l'ipotesi di una selezione dei target basata sulla superficie di attacco esposta piuttosto che su ricognizione approfondita.

L'attenzione delle autorità è cresciuta in parallelo. L'FBI ha emesso il PSA IC3-PSA-2026-0515 il 15 maggio 2026, con un avviso specifico sull'attività di ShinyHunters contro istituzioni formative. Il documento, citato da Tech-Insider e TechTimes, colloca il gruppo in una categoria di minaccia che le agenzie di intelligence stanno mappando con crescente granularità. La specificità del target istituzionale nel PSA non esclude target aziendali — il portfolio di ShinyHunters è notoriamente diversificato — ma indica un livello di analisi del gruppo che precede l'incidente Kodak di un mese.

Per le imprese B2B con esposizione a piattaforme SaaS, il caso Kodak illustra un profilo di rischio specifico: il furto di dati aziendali, inclusi potenzialmente record di clienti business, può innescare catene di spear-phishing e business email compromise (BEC) a valle. La differenza rispetto ai modelli consumer è nella natura del dato: informazioni di contatto corporate, storici contrattuali, specifiche tecniche, possono essere weaponizzati con precisione superiore rispetto a PII generica. Kodak, con un portafoglio di quasi 79.000 brevetti mondiali e 138 anni di storia aziendale, rappresenta un target con superficie di attacco estesa oltre i dati individuali.

Cosa fare adesso

Per le organizzazioni che operano con Kodak o che confrontano modelli di rischio simili, il dossier disponibile indica alcune linee di azione senza tuttavia sostituirsi a una valutazione forense propria:

• Verificare esposizioni contrattuali: le imprese partner dovrebbero mappare quali dati condivisi con Kodak — contatti, specifiche, documentazione tecnica — possano avere attraversato l'ambiente compromesso, anche senza conferma di inclusione nei 2,2 milioni di record rivendicati
• Rinforzare il monitoraggio BEC: la natura B2B dei dati potenzialmente esposti amplifica il rischio di spear-phishing diretto a contatti tecnici e commerciali; la vigilanza su domini simili-lookup e su modifiche nelle procedure di pagamento è prioritaria
• Documentare la due diligence per coperture assicurative: l'asimmetria informativa tra rivendicazione dell'attaccante e conferma della vittima complica la stima del danno; le imprese assicurate dovrebbero tracciare le comunicazioni ufficiali di Kodak come riferimento per eventuali sinistri a valle
• Rivedere le clausole di notifica nei contratti SaaS: l'assenza di dettagli sulla tipologia di dati e sull'ambiente coinvolto (rete interna vs cloud) evidenzia il limite delle notifiche minime richieste dalla normativa; i contratti futuri dovrebbero prevedere obblighi di disclosure più granulari

Il controllo della narrazione quando nessuno può verificare

L'incidente Kodak-ShinyHunters si colloca in una categoria di breach che non si risolve con patch o ripristino, ma con la gestione dell'incertezza stessa. Il gruppo ha ottenuto — o almeno rivendicato — un accesso, ha impostato una deadline, ha minacciato conseguenze non specificate. Kodak ha confermato l'accesso, ha negato la minaccia operativa attuale, ha omesso la verifica del volume. Il risultato è uno spazio informatico in cui 2,2 milioni di record fluttuano come numero privo di ancoraggio: non dimostrato, non smentito, non ignorabile.

La conseguenza più duratura potrebbe non essere la pubblicazione dei dati, che non è stata documentata entro agosto 2026, ma l'erosione del meccanismo di fiducia tra vittime di breach e i loro stakeholder. Quando una dichiarazione di "quantità limitata" può coesistere con una rivendicazione di milioni di record senza possibilità di verifica pubblica, il sistema di notifica incidenti perde la sua funzione di riduzione del rischio. Chiunque abbia condiviso dati con Kodak — un fornitore, un cliente business, un partner di licenza — non ha ricevuto gli elementi per una valutazione autonoma. Questa è l'anomalia che supera il caso singolo: non la mancanza di dati, ma la mancanza di un protocollo per rendere i dati verificabili.

Fonti

• https://tech-insider.org/eastman-kodak-shinyhunters-breach-2026/
• https://www.gblock.app/articles/kodak-shinyhunters-breach-2-2m-records-2026
• https://cybernews.com/security/shinyhunters-claims-kodak-hack-2-million-records/
• https://www.techtimes.com/articles/318565/20260617/kodak-confirms-data-breach-shinyhunters-threatens-leak-22m-records.htm
• https://www.securitymagazine.com/articles/102379-kodak-confirms-breach-following-claims-22m-records-stolen
• https://www.bleepingcomputer.com/news/security/kodak-confirms-data-breach-claimed-by-shinyhunters-extortion-gang/
• https://securelist.com/state-of-ransomware-in-2026/119761/
• https://www.ransomware.live/id/a29kYWsuY29tQHNoaW55aHVudGVycw
• https://www.cm-alliance.com/cybersecurity-blog/june-2026-biggest-cyber-attacks-data-breaches-ransomware-attacks

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti