Mehrere ungesicherte Datenbanken, die mit dem Tribeca Film Festival in Verbindung stehen, legten laut Sicherheitsforscher Jeremiah Fowler mehr als 666.000 Datensätze frei, bevor sie gesichert wurden. Die öffentlich zugänglichen Datenbanken enthalten Berichten zufolge Kontaktinformationen und interne Festivaldaten, die über mehrere Jahre gesammelt wurden.
Fowler von Black Hills Information Security entdeckte kurz vor Beginn des Tribeca Festivals 2026 im Juni vier Datenbanken, said die ohne Authentifizierung zugänglich waren. Nach seinen Erkenntnissen enthielten die Datenbanken zusammen 666.369 Datensätze.
Die erste Datenbank, bezeichnet als “Kontakte”, soll etwa 200.000 Datensätze enthalten, die mit Schauspielern, Regisseuren, Produzenten, Medienvertretern, Festivalmitarbeitern und anderen Fachleuten der Unterhaltungsbranche verbunden waren. Fowler sagte, er habe die Organisation nach der Identifizierung der exponierten Systeme benachrichtigt und der Zugang sei am folgenden Tag eingeschränkt worden.
Da die Datenbanken weder ein Passwort noch eine Verschlüsselung benötigten, sagte Fowler, sei es unmöglich festzustellen, wie lange sie öffentlich zugänglich waren oder ob jemand anderes auf die Informationen zugegriffen habe, bevor sie gesichert wurden.
Der Forscher berichtete, dass die Aufzeichnungen Zeitstempel von 2019 bis 2026 trugen, was darauf hindeutet, dass die Datenbanken Informationen enthielten, die sich über mehrere Festivalausgaben hinweg gesammelt hatten. Er sagte außerdem, es sei unklar, ob die exponierte Infrastruktur direkt dem Tribeca Film Festival, dessen Muttergesellschaft, oder einem externen Dienstleister gehöre.
Laut Fowler erwähnten einige Aufzeichnungen bekannte Schauspieler, Filmemacher und andere öffentliche Persönlichkeiten. Das Vorhandensein des Namens eines Prominenten in einer Datenbank bedeutet jedoch nicht zwangsläufig, dass die privaten Kontaktinformationen der Person offengelegt wurden.
Nachdem die Ergebnisse öffentlich wurden, bestritt ein Sprecher des Tribeca Film Festivals Berichte, dass persönliche Kontaktdaten von Prominenten durchgesickert seien. Die Organisation erklärte, dass keinem der in der Medienberichterstattung identifizierten Talente persönliche Kontaktdaten preisgegeben wurden.
Tribeca sagte außerdem, dass die veröffentlichten Informationen unmittelbar nach der Benachrichtigung entfernt wurden. Laut der Organisation bestanden die meisten Unterlagen aus öffentlich zugänglichen Geschäftskontaktdaten, darunter Informationen von PR-Firmen, Talentvertretern, E-Mail-Adressen der Front Office und Kontaktinformationen, die bereits über offizielle Festivalressourcen veröffentlicht wurden.
Fowler räumte ein, dass die offengelegten Daten zwischen den Datensätzen erheblich variierten. Er sagte, einige Einträge enthielten personenbezogene Informationen, während andere unvollständig oder als Assistenten, Managementkontakte oder öffentlich zugängliche Geschäftsvertreter aufgeführt waren.
Über Kontaktdaten hinaus enthielten die Datenbanken laut Forscherin auch Bilder, Pressepakete, Marketingmaterialien, Dokumente und interne Festivalkommunikation. Einige Akten wurden Berichten zufolge als vertraulich markiert.
Bei der Überprüfung einer der Produktionsdatenbanken entdeckte Fowler auch einen Backup-Datenbank-Dump, der angeblich E-Mail-Adressen, Telefonnummern, IP-Adressen und gehashte Passwörter enthielt. Hashing ist eine Methode, um Passwörter in kryptografische Werte umzuwandeln, sodass sie nicht im Klartext gespeichert werden, obwohl gehashte Zugangsdaten je nach Implementierung weiterhin Sicherheitsrisiken darstellen können.
Der Forscher sagte, die offengelegten Informationen könnten potenziell nützlich für Phishing-, Social Engineering- oder Imitationsversuche sein, wenn sie von böswilligen Akteuren erhalten werden. Es gibt jedoch keine Hinweise darauf, dass die Datenbanken vor der Sicherung von unbefugten Personen genutzt wurden.
Das Tribeca Film Festival hat keinen bestätigten Missbrauch der veröffentlichten Informationen gemeldet. Die Organisation betont, dass das Problem nach der Benachrichtigung umgehend behoben wurde, während das vollständige Eigentum an den offengelegten Datenbanken nicht öffentlich bekannt gegeben wurde.