Hallaron datos de Jennifer Lawrence y Morgan Freeman en una base de datos pública; el festival Tribeca los calificó como «contactos comerciales».
Los publicistas de Hollywood deberán explicar a sus clientes la dirección adicional que apareció en la filtración.
Una copia de seguridad dejada descuidadamente convirtió la base interna de uno de los mayores festivales de cine de EE. UU. en un directorio abierto con cientos de miles de registros. En la red se encontraron datos relacionados con el festival Tribeca, incluida la información de contacto de directores, actores, participantes y suscriptores.
El especialista en ciberseguridad Jeremiah Fowler encontró varias bases de datos accesibles sin contraseña ni cifrado. En total contenían 666 369 registros con fechas desde 2019 hasta 2026. Entre los materiales había imágenes, kits de prensa, archivos promocionales y documentos, algunos de ellos marcados como "confidencial".
La mayor amenaza la representaba la copia de seguridad en la base de trabajo. El archivo contenía 295 916 registros, que incluían direcciones de correo electrónico, números de teléfono, direcciones IP y hashes de contraseñas. En secciones separadas se almacenaban datos sobre 163 171 usuarios, 15 488 representantes de películas y 13 535 contactos.
En la lista de contactos Fowler vio los nombres de Martin Scorsese, Francis Ford Coppola, Guillermo del Toro, George Lucas, Robert De Niro, Angelina Jolie, Jennifer Lawrence, Morgan Freeman y otros destacados profesionales del cine. Parte de los registros contenía datos de asistentes, managers y representantes de relaciones públicas; algunos campos estaban vacíos. Sin embargo, muchas direcciones estaban registradas en Gmail, Yahoo y Outlook, por lo que entre ellas podían figurar contactos personales.
Los representantes de Tribeca afirmaron que los datos personales de las celebridades mencionadas no habían sido revelados, y que la mayor parte de la información correspondía a contactos comerciales públicos. Según la versión del festival, la base contenía direcciones de representantes, buzones de oficina y datos que ya se habían publicado en el sitio web. Los organizadores también indicaron que cerraron rápidamente el acceso a los archivos.
Según la valoración de Fowler, la causa de la filtración fue un error común al manejar la copia de seguridad. El archivo quedó en el entorno de trabajo en abierto, sin cifrado ni restricciones de acceso. Cualquier usuario podía encontrar la base a través de un motor de búsqueda de dispositivos conectados y abrir los registros en un navegador normal.
El festival reaccionó al aviso ese mismo día y restringió el acceso a la copia de seguridad. Fowler no halló indicios de que atacantes hubieran llegado a usar la base. Sin embargo, el periodo exacto de disponibilidad de los datos y la información sobre posibles accesos a la base solo pueden determinarse tras una revisión interna.
Los datos de contacto expuestos pueden ayudar a los delincuentes a elaborar correos convincentes, hacerse pasar por empleados del festival y usar información no pública para engañar. Los sistemas modernos de inteligencia artificial facilitan además la preparación de envíos masivos, mensajes falsos y archivos maliciosos adjuntos.
Las contraseñas en la base se almacenaban como hashes creados con el algoritmo bcrypt. Ese método se considera más seguro que almacenar contraseñas en texto claro, ya que el valor original no puede recuperarse directamente a partir del hash. No obstante, las contraseñas débiles y las usadas con frecuencia pueden seguir siendo vulnerables a ataques de fuerza bruta.