L'un des événements cinématographiques les plus prestigieux au monde est à l'origine d'une fuite massive d'informations privées appartenant aux plus grandes stars d'Hollywood. Un chercheur en cybersécurité affirme avoir découvert des bases de données publiques liées au Festival du film de Tribeca, contenant des centaines de milliers d'enregistrements. Ces informations auraient inclus des données concernant les plus grandes stars d'Hollywood, d'Angelina Jolie et Robert De Niro à Steven Spielberg et Jennifer Lawrence. Cependant, l'organisateur du festival nie catégoriquement que les coordonnées privées de ces célébrités aient été divulguées. La découverte a été faite par Jeremiah Fowler de Black Hills Information Security. Il a signalé avoir découvert quatre bases de données non sécurisées, accessibles sans mot de passe ni chiffrement. Elles contenaient apparemment un total de 666 369 enregistrements. La première base de données, baptisée « Contacts », a été découverte avant le début du Festival du film de Tribeca de cette année. Selon le chercheur, elle contenait environ 200 000 entrées, notamment des noms, adresses électroniques, numéros de téléphone et autres informations concernant des acteurs, réalisateurs, producteurs, représentants des médias et personnes liées à l'organisation de l'événement. Fowler affirme avoir découvert, au cours de son analyse, les noms de nombreuses stars de cinéma de renommée mondiale. Il a cité, entre autres, Martin Scorsese, George Lucas, Ron Howard, Morgan Freeman, Angelina Jolie, Jennifer Lawrence, Rami Malek et Robert De Niro.



Le Festival du film de Tribeca conteste cette interprétation. Un porte-parole du festival a déclaré qu'après réception du rapport, tous les actifs divulgués avaient été immédiatement mis en sécurité. L'organisation souligne également que la grande majorité des informations étaient publiques. Selon les représentants de Tribeca, il s'agissait principalement des coordonnées des attachés de presse, des agents, des représentants artistiques et des adresses électroniques professionnelles qui étaient déjà accessibles au public. Le festival dément formellement avoir divulgué les coordonnées privées des stars mentionnées dans les articles de presse. La principale inconnue demeure la date de l'exposition des bases de données. Fowler souligne qu'il est impossible de déterminer combien de temps les serveurs étaient accessibles au public ni si quelqu'un a téléchargé les informations qu'ils contenaient. D'autres questions se posent concernant les horodatages des données. Selon le chercheur, celles-ci couvrent la période de 2019 à 2026, ce qui laisse supposer que les informations recueillies ont pu être complétées au fil des ans. On ignore également qui était responsable de la configuration de l'infrastructure. Fowler suggère que ces systèmes pourraient avoir appartenu directement au Festival du film de Tribeca, à une filiale de Tribeca Enterprises, ou à des prestataires externes chargés de l'organisation de l'événement.

D'après la description publiée par le chercheur, l'une des bases de données contenait une copie de sauvegarde avec des informations techniques supplémentaires. Ce fichier contenait notamment des adresses électroniques, des numéros de téléphone, des adresses IP et des mots de passe chiffrés. Parmi les autres documents figuraient des pièces de l'organisation, des communiqués de presse, des photographies, des dossiers marketing et des communications internes relatives au festival. Fowler a souligné que certains de ces documents étaient confidentiels. Les experts soulignent que même si la plupart des données proviennent de sources publiques, leur regroupement en un seul endroit augmente considérablement leur valeur pour les cybercriminels. Muhammad Yahya Patel, responsable de la sécurité des systèmes d'information chez Huntress, estime que des incidents comme ceux-ci démontrent à quel point il est facile d'exposer des personnalités de premier plan à des attaques ciblées. Le spécialiste souligne que les cybercriminels n'ont pas toujours besoin d'outils sophistiqués ou de failles zero-day. Dans bien des cas, une simple erreur de configuration d'un serveur suffit. Selon Patel, la compilation de noms, d'adresses électroniques, d'informations sur les appareils et de données organisationnelles peut être utilisée pour préparer des campagnes d'hameçonnage très crédibles ciblant des individus spécifiques ou des équipes entières de célébrités.

Depuis un quart de siècle, le Festival du film de Tribeca est l'un des événements les plus importants de l'industrie cinématographique. Chaque année, des milliers de cinéastes, producteurs, journalistes et célébrités affluent à New York. D'après les données du secteur, l'événement attire jusqu'à 150 000 participants et le nombre de contacts liés à son organisation se chiffre en milliers. Une telle base de données fait de la sécurité des infrastructures un élément primordial de la sécurité de l'événement. Cet incident démontre également que même les marques les plus connues du monde du divertissement restent vulnérables aux erreurs de configuration. Il suffit d'un seul serveur mal sécurisé pour qu'une quantité considérable d'informations soit diffusée sur Internet, pouvant ainsi devenir un outil pour les fraudeurs.