Una violazione di dati di proporzioni impressionanti ha colpito il Tribeca Festival, esponendo le informazioni personali di migliaia di celebrità di Hollywood. Tra i nomi coinvolti figurano alcuni dei più grandi protagonisti del cinema mondiale: Jennifer Lawrence, Angelina Jolie, Robert De Niro, Martin Scorsese, Francis Ford Coppola, Guillermo del Toro, Ron Howard, Morgan Freeman, Rami Malek, Eva Mendes e Michael J. Fox, per citarne alcuni.
A scoprire la falla nella sicurezza è stato Jeremiah Fowler, esperto di cybersicurezza che lavora per la Black Hills Information Security e collabora con ExpressVPN. Fowler ha rivelato l’esistenza del leak in un post pubblicato nel weekend, documentando un totale di 666.369 file esposti relativi ad un periodo compreso tra il 2019 al 2026. La scoperta è avvenuta pochi giorni prima dell’inizio dell’edizione 2026 del festival, tenutasi dal 3 al 14 giugno per celebrare il 25esimo anniversario della manifestazione.
Il ricercatore, che ha dichiarato di aver trovato la più grande collezione di dati di celebrità mai vista in 15 anni di carriera, ha spiegato di aver individuato il problema utilizzando un motore di ricerca IoT, uno strumento simile a Google ma specifico per dispositivi connessi come telecamere di sorveglianza, attrezzature mediche o database cloud. In altre parole, chiunque avesse una connessione internet e conoscesse questi strumenti avrebbe potuto accedere ai dati sensibili semplicemente attraverso un normale browser come Chrome, Firefox o Safari.
Secondo quanto emerso dall’analisi di Fowler, la maggior parte dei dati consisteva in materiali di marketing, kit stampa e immagini promozionali. Tuttavia, un file di backup in formato dump conteneva informazioni potenzialmente delicate. All’interno di questo file si trovava una cartella denominata “contatti” con 13.535 voci, comprensive di nomi, indirizzi, numeri di telefono ed mail di registi e attori di primo piano.
Il database includeva anche dettagli tecnici sui dispositivi utilizzati dalle celebrità, come le versioni di iPhone possedute e i browser utilizzati per navigare. Un altro documento conteneva circa 135.000 contatti, presumibilmente persone iscritte alle mailing list del festival o partecipanti agli eventi nel corso degli anni.
Fowler ha sottolineato che l’errore commesso dal Tribeca Festival è stato essenzialmente umano: lasciare un file di backup all’interno del database di produzione, in formato testo semplice e senza alcuna crittografia. Normalmente, quando si esegue un backup, questo dovrebbe essere conservato offline o in un database separato, fungendo da fail-safe in caso di problemi. Inoltre, ha precisato che alcuni campi di contatto erano incompleti o contenevano riferimenti ad assistenti, manager o addetti stampa invece di email o numeri personali, un dettaglio confermato in parte anche dal festival stesso.
Come riporta Variety, il Tribeca Festival ha rilasciato una dichiarazione ufficiale attraverso un portavoce, contestando parzialmente i risultati di Fowler:
“Le persone coinvolte nei recenti report non hanno subito la diffusione di contatti privati o personali. I dati riportati erano in larga parte informazioni professionali già pubbliche, tra cui contatti di uffici stampa, agenti, email aziendali e riferimenti disponibili online attraverso i canali ufficiali del festival. Il materiale è stato eliminato subito dopo la segnalazione del problema”
Nonostante la disputa su alcuni dettagli, Fowler ha elogiato la risposta del festival, definendola rapida e professionale. Un elemento rassicurante è che il ricercatore non ha trovato prove di accessi da parte di malintenzionati: solitamente, quando dati rimangono esposti per lunghi periodi, compaiono richieste di riscatto in bitcoin da parte di gruppi ransomware, cosa che in questo caso non si è verificata.
L’esperto ha però lanciato un allarme importante sull’evoluzione delle minacce informatiche nell’era dell’intelligenza artificiale. Secondo Fowler, l’AI ha democratizzato l’hacking, consentendo anche a persone non tecniche di compiere attività criminali sofisticate:
“La creatività dei criminali è aumentata oltre ogni limite. L’AI dà a chiunque la capacità di fare cose che persone non tecniche non potevano fare prima. Ora puoi alimentarla con informazioni e chiederle di creare un’email di phishing. Potresti usare Claude, chiedergli di creare malware, inserirlo in un documento dicendo “Dai un’occhiata a questo copione” e inviarlo a 135.000 persone. Qualcuno lo aprirà. È un problema molto, molto grande”.
Il ricercatore ha voluto chiarire che l’obiettivo del suo lavoro non è mettere in imbarazzo le organizzazioni come Tribeca ma aiutarle a identificare le vulnerabilità e migliorare la sicurezza informatica per proteggere i dati in futuro. Ha evidenziato che statisticamente le organizzazioni colpite da un incidente di questo tipo non ne subiscono un altro per tre-cinque anni, poiché la sicurezza diventa una priorità assoluta e vengono dedicate risorse significative a test di penetrazione e scansioni delle vulnerabilità.
L’incidente rappresenta un campanello d’allarme per l’intera industria dell’intrattenimento sulla necessità di proteggere adeguatamente i dati sensibili in un’epoca in cui le minacce informatiche sono sempre più sofisticate e accessibili.
