Plusieurs bases de données non sécurisées liées au Festival du film de Tribeca ont révélé plus de 666 000 dossiers avant d’être sécurisés, selon le chercheur en sécurité Jeremiah Fowler. Les bases de données accessibles au public contenaient, selon les rapports, des informations de contact et des données internes au festival collectées sur plusieurs années.
Fowler, de Black Hills Information Security, said a découvert quatre bases de données accessibles sans authentification peu avant le début du Festival Tribeca 2026 en juin. Selon ses conclusions, les bases de données contenaient au total 666 369 enregistrements.
La première base de données, appelée « contacts », contenait environ 200 000 dossiers associés à des acteurs, réalisateurs, producteurs, représentants médiatiques, employés de festivals et autres professionnels de l’industrie du divertissement. Fowler a déclaré avoir informé l’organisation après avoir identifié les systèmes exposés, et l’accès a été restreint le lendemain.
Comme les bases de données ne nécessitaient ni mot de passe ni chiffrement, Fowler a déclaré qu’il est impossible de déterminer depuis combien de temps elles étaient accessibles publiquement ou si quelqu’un d’autre avait accédé à l’information avant qu’elles ne soient sécurisées.
Le chercheur a rapporté que les enregistrements portaient des horodatages allant de 2019 à 2026, suggérant que les bases de données contenaient des informations accumulées au fil de plusieurs éditions du festival. Il a également indiqué qu’il n’était pas clair si l’infrastructure exposée appartenait directement au Festival du film de Tribeca, à sa société mère ou à un prestataire de services externe.
Selon Fowler, certains documents faisaient référence à des acteurs, cinéastes et autres personnalités publiques célèbres. Cependant, la présence du nom d’une célébrité dans une base de données n’indique pas nécessairement que les coordonnées privées de la personne ont été exposées.
Après la publication des résultats, un porte-parole du Festival du film de Tribeca a contesté les informations selon lesquelles les coordonnées personnelles de célébrités auraient été divulguées. L’organisation a indiqué qu’aucun des talents identifiés dans la couverture médiatique n’avait vu ses coordonnées personnelles divulguées.
Tribeca a également indiqué que les informations exposées avaient été supprimées immédiatement après avoir été informées. Selon l’organisation, la plupart des documents consistaient en des coordonnées professionnelles accessibles au public, y compris des informations sur des agences de relations publiques, des représentants de talents, des adresses e-mail du front office et des coordonnées déjà publiées via les ressources officielles du festival.
Fowler a reconnu que les données exposées variaient considérablement d’un dossier à l’autre. Il a précisé que certaines entrées contenaient des informations personnelles identifiables, tandis que d’autres étaient des assistants incomplets ou listés comme des assistants, des contacts de direction ou des représentants commerciaux accessibles publiquement.
Au-delà des enregistrements de contact, le chercheur a indiqué que les bases de données contenaient également des images, des dossiers de presse, des supports marketing, des documents et des communications internes au festival. Certains dossiers auraient été marqués comme confidentiels.
En examinant l’une des bases de données de production, Fowler a également découvert un dump de sauvegarde de base de données qui contenait prétendument des adresses e-mail, des numéros de téléphone, des adresses IP et des mots de passe hachés. Le hachage est une méthode de transformation des mots de passe en valeurs cryptographiques afin qu’ils ne soient pas stockés en texte brut, bien que les identifiants hachés puissent tout de même présenter des risques de sécurité selon leur implémentation.
Le chercheur a indiqué que les informations exposées pourraient potentiellement être utiles dans les tentatives de phishing, d’ingénierie sociale ou d’usurpation d’identité si elles étaient obtenues par des acteurs malveillants. Cependant, rien ne prouve que ces bases de données aient été consultées par des parties non autorisées avant leur sécurisation.
Le Festival du film de Tribeca n’a signalé aucun usage confirmé des informations exposées. L’organisation soutient que le problème a été traité rapidement après la notification, tandis que la pleine propriété des bases de données exposées n’a pas été identifiée publiquement.