Filtración masiva en un festival de cine habría expuesto datos de Robert De Niro, Angelina Jolie y más estrellas de Hollywood

Un investigador de ciberseguridad aseguró haber encontrado una filtración masiva de datos relacionada con el Festival de Tribeca, en los que se habrían vulnerado registros con información de contacto asociada a reconocidos actores, directores y productores de Hollywood.

La investigación fue dada a conocer por el especialista en ciberseguridad Jeremiah Fowler, de Black Hills Information Security, quien publicó sus hallazgos en un blog de ExpressVPN y posteriormente habló con Variety. Según explicó, descubrió una base de datos que contenía 666.369 registros con fechas comprendidas entre 2019 y 2026.

Entre el material hallado había documentos de carácter promocional, kits de prensa e imágenes, pero también un archivo de respaldo (.dump) que, según Fowler, contenía información potencialmente sensible.

En ese respaldo existía una carpeta denominada “contactos” con 13.535 registros, donde figuraban nombres, direcciones, números telefónicos y correos electrónicos asociados a figuras como Martin Scorsese, Francis Ford Coppola, Guillermo del Toro, Ron Howard, Robert De Niro, Jennifer Lawrence, Angelina Jolie, Morgan Freeman, Rami Malek y Michael J. Fox, entre otros.

De acuerdo con Fowler, algunos registros correspondían a asistentes, representantes o publicistas, mientras que otros incluían cuentas personales. “Vi muchas cuentas de correo de consumidores, como Google o Yahoo”, declaró a Variety. El investigador también explicó que algunos campos de la base de datos estaban incompletos.

¿Qué habría provocado la filtración?

El investigador atribuyó el incidente a un error humano relacionado con el manejo de los archivos de respaldo.

“Normalmente, cuando haces una copia de seguridad, no la mantienes en un entorno de producción”, explicó a Variety. “La llevas fuera de línea o la colocas en una base de datos separada; así sirve como respaldo en caso de que algo salga mal”.

Según Fowler, el archivo permanecía almacenado sin ningún tipo de cifrado, lo que permitía que cualquier persona con acceso a internet pudiera visualizar su contenido mediante herramientas de búsqueda especializadas.

“Fue un error humano dejar el archivo de respaldo en la base de datos, y el archivo estaba en texto plano, sin cifrar”, afirmó el especialista. También señaló que, de haber estado protegido mediante encriptación, ni él ni terceros habrían podido acceder a la información.

El experto indicó además que encontró datos sobre los dispositivos vinculados a determinadas direcciones de correo electrónico, como el tipo de teléfono, la versión del sistema operativo o el navegador utilizado.

“Eso daría a un ciberdelincuente suficiente información, hipotéticamente, para dirigirse aún más a esa persona”, explicó a LADbible. También advirtió que este tipo de datos podría facilitar campañas de phishing e ingeniería social cada vez más sofisticadas gracias al uso de inteligencia artificial.

La respuesta del Festival de Tribeca

Tras conocerse el informe, el Festival de Tribeca rechazó que se hubiera expuesto información personal de las celebridades mencionadas.

En un comunicado citado por Variety, un portavoz aseguró: “Ninguno de los talentos mencionados en los reportes recientes tuvo información de contacto personal divulgada. La gran mayoría de la información consistía en datos de contacto profesionales de acceso público, incluidos representantes de relaciones públicas, agentes de talento, direcciones de correo de oficinas, información del sitio web del festival y otros datos que ya estaban disponibles públicamente”.

La organización añadió que “toda la información fue eliminada rápidamente tras su descubrimiento”.

Fowler, por su parte, reconoció que el festival actuó con rapidez una vez que fue notificado. “Lo solucionaron literalmente ese mismo día. Actuaron muy rápido. Son una organización profesional”, dijo el experto a la prensa.

El investigador sostuvo además que no encontró indicios de que la información hubiera sido utilizada por ciberdelincuentes antes de ser retirada, aunque insistió en que una base de datos de estas características podía convertirse en un objetivo atractivo para ataques dirigidos.