Una grave fuga di dati ha coinvolto il Tribeca Festival, storico evento cinematografico fondato nel 2002 da Robert De Niro, Jane Rosenthal e Craig Hatkoff. Secondo il ricercatore di cybersicurezza Jeremiah Fowler, un database lasciato accessibile online avrebbe esposto 666.369 documenti, compresi migliaia di contatti riconducibili a personalità del mondo del cinema e dello spettacolo. Tra i nomi citati figurano Martin Scorsese, Francis Ford Coppola, Jennifer Lawrence, Angelina Jolie, Guillermo del Toro, Ron Howard, Morgan Freeman, Rami Malek, Eva Mendes, Michael J. Fox e lo stesso Robert De Niro.
La scoperta del ricercatore Jeremiah Fowler
Fowler, che lavora per Black Hills Information Security e pubblica regolarmente analisi per ExpressVPN, ha raccontato a Variety come sia arrivato a individuare il database. "Lavoro come ricercatore di sicurezza da circa quindici anni e sono sempre alla ricerca di dati esposti online. Ho utilizzato un motore di ricerca IoT, che è sostanzialmente un Google per dispositivi connessi e database cloud."
L'archivio conteneva dati con date comprese tra il 2019 e il 2026. Secondo Fowler, la maggior parte del materiale era costituita da documenti non particolarmente sensibili, come cartelle stampa, immagini promozionali e materiali di marketing. Il problema principale riguardava però un file di backup in formato .dump, lasciato accessibile senza alcuna protezione.
All'interno era presente una cartella denominata contacts con 13.535 contatti, comprendenti nomi, indirizzi, numeri di telefono ed e-mail. In alcuni casi i dati appartenevano direttamente ai personaggi coinvolti, mentre in altri erano riferiti ad assistenti, manager o addetti stampa.
Il Tribeca Festival ha ridimensionato la portata dell'accaduto attraverso una dichiarazione ufficiale. Secondo gli organizzatori, nessuna informazione personale delle celebrità sarebbe stata realmente esposta, sostenendo che la maggior parte dei dati riguardasse recapiti professionali già pubblici, come quelli di uffici stampa, agenzie di rappresentanza e contatti presenti sul sito ufficiale del festival.
L'organizzazione ha inoltre precisato che tutti i dati sono stati rimossi immediatamente dopo la segnalazione. Fowler, tuttavia, ha ribadito di aver trovato anche numerosi indirizzi e-mail personali appartenenti a servizi come Gmail e Yahoo. "Hanno contestato che alcuni contatti appartenessero a manager o assistenti, ma io ho visto molti account personali."
Secondo il ricercatore, l'origine del problema non sarebbe stata un sofisticato attacco informatico, bensì una configurazione errata del database. "Normalmente un backup non viene lasciato nell'ambiente di produzione. Lo si conserva offline oppure in un database separato. In questo caso il file era in chiaro, senza alcuna crittografia."
Proprio l'assenza di cifratura ha permesso a chiunque disponesse di una connessione Internet di visualizzare il contenuto attraverso un comune browser.
L'AI rende questi incidenti ancora più pericolosi
Nonostante la gravità della vulnerabilità, Fowler ha spiegato di non aver trovato elementi che facciano pensare a un utilizzo malevolo delle informazioni prima della sua scoperta. Ha inoltre elogiato la rapidità con cui il Tribeca Festival è intervenuto. "Hanno risposto molto velocemente e con professionalità."
Per Fowler, episodi di questo tipo assumono oggi una gravità ancora maggiore a causa dell'evoluzione dell'intelligenza artificiale. "Il livello di creatività dei criminali informatici è aumentato enormemente. L'AI permette anche a persone prive di competenze tecniche di creare campagne di phishing o malware."
Il ricercatore cita come esempio la possibilità di utilizzare strumenti di intelligenza artificiale per generare e-mail fraudolente estremamente convincenti, magari mascherate da sceneggiature cinematografiche o documenti di lavoro e inviate contemporaneamente a migliaia di destinatari.
Fowler conclude sottolineando che il suo obiettivo non è esporre pubblicamente aziende e organizzazioni, ma aiutarle a individuare le proprie vulnerabilità. "Lo scopo del mio lavoro non è mettere le organizzazioni alla gogna. Quando si verifica un incidente di questo tipo, nella maggior parte dei casi la sicurezza diventa finalmente una priorità e vengono investite più risorse per evitare che accada di nuovo."