Vazamento de dados do Tribeca Festival expôs Robert De Niro e Jennifer Lawrence

O Festival de Tribeca sofreu um vazamento de dados que expôs centenas de milhares de registros, bem como informações de contato de milhares de celebridades, incluindo Martin Scorsese, Francis Ford Coppola, Jennifer Lawrence, Angelina Jolie e co-fundador do festival Roberto De Niro.

O pesquisador de segurança cibernética Jeremiah Fowler revelou o vazamento em um blog da ExpressVPN publicar no fim de semana, alegando ter descoberto um total de 666.369 registros expostos com carimbos de data e hora variando de 2019 a 2026. Fowler, que trabalha para Black Hills Information Security, publica blogs no ExpressVPN e anteriormente fez segurança cibernética para uma empresa de software em Kiev, Ucrânia, tirou um tempo de suas férias na Europa para falar com a Variety sobre a descoberta do vazamento de dados.

“Sou pesquisador de segurança há cerca de 15 anos e estou sempre em busca de dados expostos”, diz ele. “Usei muitas APIs e ferramentas diferentes. Encontrei esta usando um mecanismo de pesquisa IoT, que é basicamente o Google para sites, mas para dispositivos conectados, como câmeras de babá, equipamentos médicos ou bancos de dados de armazenamento em nuvem.”

Co-fundado em 2002 por De Niro, Jane Rosenthal e Craig Hatkoff como uma forma de revitalizar Lower Manhattan após os ataques de 11 de setembro, o festival acontece anualmente na cidade de Nova York e já foi palco de estreias de tudo, desde “Os Vingadores” a “The Handmaid’s Tale”, enquanto premiava filmes como “Let the Right One In”. Edição de 2026 do Tribeca Festival, marcando seu 25º^o aniversário, decorreu de 3 a 14 de junho.

O festival emitiu um comunicado, com um porta-voz afirmando: “Nenhum dos talentos mencionados em reportagens recentes teve informações de contato pessoal divulgadas. A grande maioria das informações consistia em informações de contato comercial voltadas ao público, incluindo representantes de relações públicas, representantes de talentos, endereços de e-mail do front office, informações do site do Festival e outras informações que já estavam disponíveis publicamente. Todas as informações foram removidas imediatamente após a descoberta”.

Embora a maioria dos dados do Tribeca Festival não fossem confidenciais, consistindo em materiais de marketing, kits de imprensa e imagens promocionais, havia um arquivo .dump de backup que “continha informações potencialmente confidenciais”, incluindo uma pasta chamada “contatos” que tinha 13.535 entradas, incluindo “nomes, endereços, números de telefone e e-mails” de cineastas proeminentes como Scorsese, Coppola, Guillermo del Toro, Ron Howard e outros, bem como atores populares como De Niro, Lawrence, Jolie, Morgan Freeman, Rami Malek, Eva Mendes e Michael J. Fox. Fowler observou, no entanto, que alguns dos campos de contato não continham dados ou continham contatos de assistentes, gerentes ou publicitários em vez de um e-mail ou número de telefone pessoal. (A Variety ainda aguarda comentários do Tribeca Festival, que contestou algumas das descobertas de Fowler por telefone.)

“Normalmente, quando você faz backup de algo, você não o mantém em um ambiente de produção”, diz ele sobre a loucura de Tribeca. “Você o coloca off-line ou o coloca em um banco de dados separado, dessa forma é a sua segurança contra falhas caso algo dê errado. Um documento tinha cerca de 135 mil contatos, e presumo que seriam pessoas que se inscreveram em listas de e-mail e pessoas que vão a eventos. As celebridades estavam em algo chamado ‘contatos’, e isso tinha cerca de 13 mil.”

Ele acrescenta: “[Tribeca] meio que contestei que alguns – não todos – dos contatos possam ter sido gerentes ou assistentes, mas vi muitas contas de e-mail de consumidores, como Google ou Yahoo.”

De acordo com Fowler, o Tribeca Festival cometeu “um erro humano ao deixar o arquivo de backup no banco de dados, e o arquivo de backup estava em texto simples, não criptografado”. Se estivesse criptografado, ele não teria conseguido acessá-lo. Mas cada um dos pontos de dados, explica ele, estava disponível para qualquer pessoa com ligação à Internet, para que qualquer pessoa pudesse criar uma conta num motor de busca IoT e visualizar os dados num navegador como o Chrome, Firefox ou Safari.

Embora o Festival Tribeca tenha cometido um erro ao deixar os dados expostos, Fowler elogiou as ações que o festival tomou após suas revelações, admitindo que o festival “respondeu muito rápida e profissionalmente”. Além disso, ele “não viu nenhuma evidência de acesso de outra pessoa”, já que normalmente os dados expostos por um longo período de tempo viriam com postagens automáticas de ransomware solicitando várias quantidades de bitcoin, e essas não estavam lá.

Ele alerta que a exposição de dados pessoais das pessoas, como contas de e-mail, representa uma ameaça ainda maior na era da IA, que democratizou o hacking.

“O nível de criatividade dos criminosos disparou além de tudo. A IA dá a qualquer pessoa a capacidade de fazer coisas que pessoas não técnicas não conseguiam fazer antes”, argumenta. “Agora, você pode alimentá-lo com informações e pedir para criar um e-mail de phishing. Você poderia usar Claude, pedir para criar malware, inseri-lo em um documento dizendo: ‘Confira este script!’ e enviá-lo para 135 mil pessoas, e alguém irá abri-lo. É um problema muito, muito grande.”

Como pesquisador experiente em segurança cibernética, Fowler afirma que sua missão não é envergonhar as empresas, mas sim mostrar-lhes onde estão suas vulnerabilidades e levá-las a melhorar sua segurança cibernética para que suas informações não caiam em mãos erradas no futuro.

“O objetivo do meu relatório e das minhas conclusões não é atirar as organizações para debaixo do ônibus”, diz ele. “Estatisticamente, as organizações que têm um incidente de dados não têm outro durante três a cinco anos, uma vez que se torna um foco principal e dedicam os recursos a testes de penetração e varreduras de vulnerabilidade. Isso acontece com frequência, especialmente em setores não relacionados à tecnologia.”