Diversi database non sicuri collegati al Tribeca Film Festival hanno rivelato più di 666.000 record prima che fossero stati recuperati, secondo il ricercatore di sicurezza Jeremiah Fowler. I database accessibili al pubblico contenevano, secondo quanto riportato, informazioni di contatto e dati interni del festival raccolti in diversi anni.
Fowler, di Black Hills Information Security, said ha scoperto quattro database accessibili senza autenticazione poco prima dell’inizio del Tribeca Festival 2026 a giugno. Secondo le sue scoperte, i database contenevano complessivamente 666.369 registrazioni.
Il primo database, etichettato come “contatti”, conteneva circa 200.000 registrazioni associate ad attori, registi, produttori, rappresentanti media, dipendenti di festival e altri professionisti dell’industria dell’intrattenimento. Fowler ha detto di aver avvisato l’organizzazione dopo aver identificato i sistemi esposti, e l’accesso è stato limitato il giorno successivo.
Poiché i database non richiedevano né password né crittografia, Fowler ha detto che è impossibile determinare da quanto tempo fossero accessibili pubblicamente o se qualcun altro abbia acceduto alle informazioni prima che fossero messe in sicurezza.
Il ricercatore ha riferito che i documenti portavano timestamp che vanno dal 2019 al 2026, suggerendo che i database contenessero informazioni accumulate in più edizioni del festival. Ha inoltre detto che non è chiaro se l’infrastruttura esposta appartenesse direttamente al Tribeca Film Festival, alla sua società madre o a un fornitore di servizi esterno.
Secondo Fowler, alcuni documenti facevano riferimento a attori, registi e altre figure pubbliche famose. Tuttavia, la presenza del nome di una celebrità in un database non indica necessariamente che le informazioni di contatto private dell’individuo siano state esposte.
Dopo che i risultati sono diventati pubblici, un portavoce del Festival del Cinema di Tribeca ha contestato le notizie secondo cui i contatti personali delle celebrità erano stati trapelati. L’organizzazione ha dichiarato che nessuno dei talenti identificati nella copertura mediatica ha avuto le proprie informazioni di contatto personali divulgate.
Tribeca ha anche detto che le informazioni esposte sono state rimosse immediatamente dopo essere state notificate. Secondo l’organizzazione, la maggior parte dei documenti consisteva in dettagli di contatto aziendali pubblici disponibili, inclusi dati per agenzie di pubbliche relazioni, rappresentanti dei talenti, indirizzi email dell’ufficio frontale e informazioni di contatto già pubblicate tramite le risorse ufficiali del festival.
Fowler ha riconosciuto che i dati esposti variavano notevolmente tra i registri. Ha detto che alcune voci contenevano informazioni personali identificabili, mentre altre erano assistenti incompleti o elencati, contatti della direzione o rappresentanti aziendali pubblici.
Oltre ai registri di contatto, il ricercatore ha detto che i database contenevano anche immagini, press kit, materiali di marketing, documenti e comunicazioni interne al festival. Alcuni fascicoli sarebbero stati segnati come riservati.
Durante la revisione di uno dei database di produzione, Fowler ha anche scoperto un dump di backup che presumibilmente conteneva indirizzi email, numeri di telefono, indirizzi IP e password hashate. L’hashing è un metodo per trasformare le password in valori crittografici affinché non vengano memorizzate in testo semplice, anche se le credenziali hashate possono comunque presentare rischi per la sicurezza a seconda della loro implementazione.
Il ricercatore ha affermato che le informazioni esposte potrebbero essere utili in tentativi di phishing, ingegneria sociale o impersonificazione se ottenute da attori malevoli. Tuttavia, non ci sono prove che i database siano stati consultati da parti non autorizzate prima di essere messi in sicurezza.
Il Festival del Cinema di Tribeca non ha riportato alcun uso confermato delle informazioni esposte. L’organizzazione sostiene che la questione sia stata affrontata tempestivamente dopo la notifica, mentre la piena proprietà dei database esposti non è stata pubblicamente riconosciuta.