El Festival de Tribeca sufrió una filtración de datos que expuso cientos de miles de registros, así como la información de contacto de miles de celebridades, entre ellas Martin Scorsese, Francis Ford Coppola, Jennifer Lorenzo, Angelina Jolie y cofundador del festival Robert De Niro.
El investigador de ciberseguridad Jeremiah Fowler reveló la filtración en un blog de ExpressVPN correo durante el fin de semana, afirmando que había descubierto un total de 666,369 registros expuestos con marcas de tiempo que van desde 2019 hasta 2026. Fowler, que trabaja para Black Hills Information Security, publica blogs en ExpressVPN y anteriormente se dedicó a la ciberseguridad para una empresa de software en Kiev, Ucrania, se tomó un tiempo de sus vacaciones en Europa para hablar con Variedad sobre el descubrimiento de la fuga de datos.
“He sido investigador de seguridad durante unos 15 años y siempre estoy buscando datos expuestos”, afirma. “He usado muchas API y herramientas diferentes. Esta la encontré usando un motor de búsqueda de IoT, que es básicamente Google para sitios web pero para dispositivos conectados como cámaras para niñeras, equipos médicos o bases de datos de almacenamiento en la nube”.
Cofundado en 2002 por De Niro, Jane Rosenthal y Craig Hatkoff como una forma de revitalizar el Bajo Manhattan después de los ataques del 11 de septiembre, el festival se lleva a cabo anualmente en la ciudad de Nueva York y ha acogido los estrenos de todo tipo de películas, desde “Los Vengadores” hasta “El cuento de la criada”, y ha premiado películas como “Let the Right One In”. La edición 2026 del Festival de Tribeca cumple 25 añosth aniversario, se desarrolló del 3 al 14 de junio.
El festival emitió un comunicado, y un portavoz afirmó: “Ninguno de los talentos mencionados en informes recientes tenía información de contacto personal revelada. La gran mayoría de la información consistía en información de contacto comercial de cara al público, incluidos representantes de relaciones públicas, representantes de talentos, direcciones de correo electrónico de la oficina principal, información del sitio web del festival y otra información que ya estaba disponible públicamente. Toda la información fue eliminada inmediatamente después del descubrimiento”.
Si bien la mayoría de los datos del Festival de Tribeca no eran confidenciales y consistían en cosas como materiales de marketing, kits de prensa e imágenes promocionales, había un archivo .dump de respaldo que “contenía información potencialmente confidencial”, incluida una carpeta llamada “contactos” que tenía 13,535 entradas, incluidos “los nombres, direcciones, números de teléfono y correos electrónicos” de destacados cineastas como Scorsese, Coppola, Guillermo del Toro, Ron Howard y otros, así como actores populares como De Niro, Lawrence, Jolie, Morgan. Freeman, Rami Malek, Eva Mendes y Michael J. Fox. Fowler señaló, sin embargo, que a algunos de los campos de contacto les faltaban datos o contenían los contactos de asistentes, gerentes o publicistas en lugar de un correo electrónico o número de teléfono personal. (Variedad todavía está esperando comentarios del Festival de Tribeca, que cuestionó algunos de los hallazgos de Fowler por teléfono).
Una captura de pantalla de una parte de la filtración de datos con información confidencial eliminada.
Jermaine Fowler
“Normalmente, cuando se hace una copia de seguridad de algo, no se mantiene en un entorno de producción”, dice sobre la locura de Tribeca. “O lo desconectas o lo pones en una base de datos separada, de esa manera es un sistema de seguridad en caso de que algo salga mal. Un documento tenía alrededor de 135.000 contactos, y supongo que serían personas que se inscribieron en listas de correo y personas que van a eventos. Las celebridades estaban en algo llamado ‘contactos’, y tenía alrededor de 13.000”.
Y añade: “[Tribeca] “Dudé un poco que algunos (no todos) los contactos pudieran haber sido gerentes o asistentes, pero vi muchas cuentas de correo electrónico de consumidores, como Google o Yahoo”.
Según Fowler, el Festival de Tribeca cometió “un error humano al dejar el archivo de respaldo en la base de datos, y el archivo de respaldo estaba en texto plano, sin cifrar”. Si estuviera cifrado, no habría podido acceder a él. Pero cada uno de los puntos de datos, explica, estaba disponible para cualquier persona con conexión a Internet, por lo que cualquiera podía crear una cuenta en un motor de búsqueda de IoT y ver los datos en un navegador como Chrome, Firefox o Safari.
Si bien el Festival de Tribeca cometió un error al dejar los datos expuestos, Fowler elogió las acciones que tomó el festival a raíz de sus revelaciones y admitió que el festival “respondió muy rápido y profesionalmente”. Además, “no vio ninguna evidencia de que nadie más hubiera accedido a ellos”, ya que normalmente los datos que han estado expuestos durante un largo período de tiempo vendrían con publicaciones automáticas de ransomware solicitando varias cantidades de bitcoins, y esas no estaban allí.
Advierte que exponer los datos personales de las personas, como las cuentas de correo electrónico, plantea una amenaza aún mayor en la era de la IA, que ha democratizado la piratería.
“El nivel de creatividad de los delincuentes se ha disparado más allá de cualquier cosa. La IA le da a cualquiera la capacidad de hacer cosas que las personas sin conocimientos técnicos no podían hacer antes”, razona. “Ahora puedes proporcionarle información y pedirle que cree un correo electrónico de phishing. Puedes utilizar Claude, pedirle que cree malware e insertarlo en un documento que diga: ‘¡Mira este script!’ y envíalo a 135.000 personas, y alguien lo abrirá. Es un problema muy, muy grande”.
Como experimentado investigador en ciberseguridad, Fowler sostiene que su misión no es avergonzar a las empresas, sino mostrarles dónde residen sus vulnerabilidades y conseguir que mejoren su ciberseguridad para que su información no caiga en manos equivocadas en el futuro.
“El propósito de mi informe y mis conclusiones no es desprestigiar a las organizaciones”, afirma. “Las organizaciones que estadísticamente tienen un incidente de datos no tienen otro durante tres a cinco años, ya que se convierte en un foco principal y se dedican los recursos a pruebas de penetración y escaneos de vulnerabilidad. Sucede a menudo, especialmente en industrias no relacionadas con la tecnología”.
‘ Este Articulo puede contener información publicada por terceros, algunos detalles de este articulo fueron extraídos de la siguiente fuente: variety.com ’
