Um dos festivais de cinema mais tradicionais de Nova York enfrentou um sério problema de segurança poucas semanas depois de celebrar sua 25ª edição. Um banco de dados ligado ao Festival de Tribeca ficou acessível pela internet sem qualquer tipo de proteção adequada.
Entre arquivos promocionais, listas de distribuição e materiais destinados à imprensa, o servidor também armazenava uma cópia de segurança com milhares de contatos. Os registros traziam nomes associados a atores, diretores, representantes e outros profissionais da indústria do entretenimento.
Robert De Niro, Jennifer Lawrence, Angelina Jolie, Martin Scorsese e Francis Ford Coppola aparecem entre os nomes encontrados pelo pesquisador de segurança Jeremiah Fowler.
O caso chama atenção não apenas pela quantidade de registros disponíveis, mas também pela maneira simples como eles poderiam ser consultados. De acordo com Fowler, bastava uma conexão com a internet e uma ferramenta de busca especializada para visualizar parte do conteúdo.
Mais de 666 mil registros ficaram disponíveis
Segundo a Variety, Jeremiah Fowler identificou 666.369 registros expostos, com datas entre 2019 e 2026.
O pesquisador trabalha para a empresa Black Hills Information Security e publica análises sobre vazamentos no blog da ExpressVPN. Uma captura compartilhada pela ExpressVPN mostra parte da estrutura encontrada durante a investigação:
Fowler explicou que chegou ao banco de dados por meio de um mecanismo de busca voltado a dispositivos conectados. Essas plataformas funcionam de forma parecida com buscadores tradicionais, mas indexam servidores, câmeras, equipamentos médicos, sistemas de armazenamento em nuvem e outros dispositivos expostos.
“Trabalho como pesquisador de segurança há cerca de 15 anos e estou sempre procurando dados expostos. Já usei muitas APIs e ferramentas diferentes. Encontrei este banco por meio de um mecanismo de busca de IoT, que funciona como um Google para dispositivos conectados”, afirmou.
Boa parte dos arquivos não continha informações confidenciais. Havia materiais de divulgação, imagens promocionais, press kits e documentos relacionados às atividades do festival.
O principal problema estava em um arquivo de backup no formato “.dump”. Essa cópia de segurança permanecia no mesmo ambiente de produção e podia ser lida como texto comum, sem criptografia.
Lista tinha mais de 13 mil contatos
Dentro do arquivo havia uma pasta chamada “contacts”, com 13.535 registros. A lista incluía campos destinados a nomes, endereços, telefones e e-mails.
Entre os cineastas mencionados estavam Martin Scorsese, Francis Ford Coppola, Guillermo del Toro e Ron Howard. Atores como Robert De Niro, Jennifer Lawrence, Angelina Jolie, Morgan Freeman, Rami Malek, Eva Mendes e Michael J. Fox também apareciam nos documentos.
Nem todos os campos estavam preenchidos. Em vários casos, os números de telefone e endereços eletrônicos pertenciam a assistentes, empresários, assessores de imprensa ou agentes, em vez dos próprios artistas.
O Festival de Tribeca contestou a ideia de que dados pessoais dos famosos tenham sido divulgados. Em comunicado, um representante afirmou que a maior parte das informações era formada por contatos profissionais já disponíveis publicamente.
“Nenhum dos artistas mencionados nas reportagens recentes teve informações pessoais de contato divulgadas. A grande maioria dos dados consistia em contatos profissionais públicos, incluindo representantes de imprensa, agentes, endereços de escritórios e informações disponíveis no site do festival”, declarou a organização.
O comunicado acrescentou que todo o material foi retirado assim que o problema foi identificado.
Fowler reconheceu que parte dos contatos poderia pertencer a profissionais que representam os artistas. Ainda assim, disse ter encontrado diversos endereços de serviços comuns, como Gmail e Yahoo.
Outro documento reunia aproximadamente 135 mil contatos. O pesquisador acredita que essa relação incluía pessoas cadastradas em listas de e-mail, participantes de eventos e integrantes do público do festival.
Backup estava sem criptografia
Para Fowler, o erro principal foi deixar uma cópia de segurança dentro do ambiente usado pelo sistema principal.
“Normalmente, quando você cria um backup, não o mantém no ambiente de produção. Você o retira da rede ou o coloca em um banco separado. Assim, ele funciona como uma proteção caso alguma coisa dê errado”, explicou.
O arquivo também não utilizava criptografia. Caso estivesse protegido, o pesquisador não conseguiria ler as informações mesmo após localizar o servidor.
Segundo Fowler, qualquer pessoa poderia criar uma conta em um mecanismo de busca de IoT, encontrar o banco e abrir os registros em navegadores como Chrome, Firefox ou Safari.
Apesar da falha, ele elogiou a resposta do Festival de Tribeca. A organização teria agido de maneira rápida e profissional depois de ser comunicada.
O pesquisador também afirmou que não encontrou indícios de acesso por criminosos. Bancos de dados que permanecem expostos por muito tempo costumam receber mensagens automáticas de grupos de ransomware, muitas vezes com pedidos de pagamento em bitcoin. Nenhuma mensagem desse tipo foi identificada.
Inteligência artificial aumenta risco de golpes
Mesmo sem sinais de uso criminoso, Fowler alertou para os riscos associados a listas extensas de e-mails e telefones. Esses dados podem ser usados em campanhas de phishing, falsificação de identidade e envio de arquivos maliciosos.
Ferramentas de inteligência artificial tornaram esse tipo de golpe mais acessível para pessoas sem formação técnica. Um criminoso pode inserir informações sobre uma empresa ou indivíduo em um chatbot e solicitar a criação de mensagens falsas bastante convincentes.
“A criatividade dos criminosos aumentou muito. A inteligência artificial permite que pessoas sem conhecimento técnico façam coisas que antes não conseguiriam”, disse Fowler.
Ele citou como exemplo a possibilidade de criar um e-mail de phishing, preparar um documento com código malicioso e distribuí-lo para milhares de endereços.
“Você pode pedir que uma ferramenta crie um malware, colocá-lo em um documento e enviar para 135 mil pessoas. Alguém vai abrir. É um problema muito sério”, acrescentou.
Fowler ressaltou que seu trabalho não busca constranger as organizações afetadas. O objetivo é identificar falhas antes que as informações sejam encontradas por pessoas interessadas em aplicar golpes.
“A finalidade do meu relatório não é atacar organizações. Depois de um incidente, a segurança costuma se tornar prioridade, com mais recursos para testes de invasão e análises de vulnerabilidade”, afirmou.
Criado em 2002 por Robert De Niro, Jane Rosenthal e Craig Hatkoff, o Festival de Tribeca surgiu como parte dos esforços para recuperar a região sul de Manhattan após os atentados de 11 de setembro de 2001.
Ao longo dos anos, o evento recebeu produções como Os Vingadores e The Handmaid’s Tale. A edição de 2026, que marcou os 25 anos do festival, aconteceu entre 3 e 14 de junho, em Nova York.
