Wyciek w Hollywood. Dane kontaktowe największych gwiazd w publicznie dostępnych bazach

Jedno z najbardziej prestiżowych wydarzeń filmowych na świecie odpowiada za ogromy wyciek prywatnych informacji największych gwiazd Hollywood. Badacz cyberbezpieczeństwa twierdzi, że odkrył publiczznie dostępne bazy danych powiązane z Tribeca Film Festival, zawierające setki tysięcy rekordów.

Wśród nich miały znajdować się informacje dotyczące największych nazwisk Hollywood, od Angeliny Jolie i Roberta De Niro po Stevena Spielberga czy Jennifer Lawrence. Organizator festiwalu stanowczo zaprzecza jednak, aby doszło do ujawnienia prywatnych danych kontaktowych celebrytów.

Cztery bazy danych i ponad 666 tysięcy rekordów

Autorem odkrycia jest Jeremiah Fowler z Black Hills Information Security. Specjalista poinformował, że natrafił na cztery niezabezpieczone bazy danych, które były dostępne bez hasła i jakiegokolwiek szyfrowania. Łącznie miały zawierać 666 369 rekordów.

Pierwsza baza, nazwana „Contacts”, została odnaleziona jeszcze przed rozpoczęciem tegorocznej edycji Tribeca Film Festival. Według badacza znajdowało się w niej około 200 tysięcy wpisów obejmujących nazwiska, adresy e-mail, numery telefonów oraz inne informacje przypisane aktorom, reżyserom, producentom, przedstawicielom mediów oraz osobom związanym z organizacją wydarzenia.

Fowler przekonuje, że podczas analizy natrafił na nazwiska wielu światowych gwiazd kina. Wymienił między innymi Martina Scorsese, George'a Lucasa, Rona Howarda, Morgana Freemana, Angelinę Jolie, Jennifer Lawrence, Rami Maleka oraz Roberta De Niro.

„Żadnego wyrafinowanego ataku, żadnego podmiotu reprezentującego państwo, żadnego exploita typu zero-day. Po prostu błąd w konfiguracji, na który mógł natknąć się każdy z przeglądarką i podstawową wiedzą” – wyjaśnił Patel. „Wyciek danych na festiwalu filmowym Tribeca przypomina nam, że najbardziej znane nazwiska na świecie są tak bezpieczne, jak najmniej atrakcyjna część ich cyfrowego śladu”.

Organizator odpowiada: nie wyciekły prywatne kontakty celebrytów

Tribeca Film Festival nie zgadza się z przedstawioną interpretacją. Rzecznik festiwalu przekazał, że po otrzymaniu zgłoszenia wszystkie ujawnione zasoby zostały natychmiast zabezpieczone.

Organizacja podkreśla również, że zdecydowana większość informacji miała charakter publiczny. Według przedstawicieli Tribeca były to przede wszystkim dane kontaktowe biur prasowych, agentów, przedstawicieli talentów oraz adresy e-mail wykorzystywane służbowo, które wcześniej funkcjonowały w przestrzeni publicznej.

Festiwal stanowczo zaprzecza, aby ujawniono prywatne dane kontaktowe gwiazd wymienianych w medialnych doniesieniach.

Nie wiadomo, jak długo dane były dostępne

Największą niewiadomą pozostaje czas ekspozycji baz danych. Fowler zaznacza, że nie ma możliwości ustalenia, od kiedy serwery pozostawały publicznie dostępne ani czy ktokolwiek pobrał znajdujące się tam informacje.

Dodatkowe pytania budzą sygnatury czasowe obecne w rekordach. Według badacza obejmowały one okres od 2019 do 2026 roku, co sugeruje, że zgromadzone informacje mogły być uzupełniane przez wiele lat.

Nie jest także jasne, kto odpowiadał za konfigurację infrastruktury. Fowler wskazuje, że mogły to być zarówno systemy należące bezpośrednio do Tribeca Film Festival, spółki Tribeca Enterprises, jak i zewnętrznych wykonawców obsługujących wydarzenie.

W bazach miały znaleźć się także poufne pliki

Według opisu opublikowanego przez badacza jedna z baz zawierała kopię zapasową z dodatkowymi informacjami technicznymi. W pliku miały znajdować się adresy e-mail, numery telefonów, adresy IP oraz zaszyfrowane hasła.

Pozostałe rekordy obejmowały dokumenty organizacyjne, materiały prasowe, fotografie, pliki marketingowe oraz wewnętrzną komunikację dotyczącą festiwalu. Fowler podkreśla, że część dokumentów była oznaczona jako poufna.

Eksperci zaznaczają, że nawet jeśli większość danych rzeczywiście pochodziła z publicznych źródeł, ich zebranie w jednym miejscu znacząco zwiększa wartość dla cyberprzestępców.

Hollywood to atrakcyjny cel dla oszustów

Muhammad Yahya Patel, dyrektor ds. bezpieczeństwa informacji w firmie Huntress, uważa, że takie incydenty pokazują, jak niewiele potrzeba, aby narazić znane osoby na ukierunkowane ataki.

Specjalista zwraca uwagę, że cyberprzestępcy nie zawsze potrzebują zaawansowanych narzędzi ani podatności typu zero-day. W wielu przypadkach wystarcza błędna konfiguracja serwera.

Według Patela zestawienie nazwisk, adresów e-mail, informacji o urządzeniach czy danych organizacyjnych może posłużyć do przygotowania bardzo wiarygodnych kampanii phishingowych wymierzonych w konkretne osoby lub całe zespoły reprezentujące gwiazdy.

Festiwal przyciąga największe nazwiska światowego kina

Tribeca Film Festival od ćwierć wieku należy do najważniejszych wydarzeń branży filmowej. Każdego roku do Nowego Jorku przyjeżdżają tysiące twórców, producentów, dziennikarzy i celebrytów.

Według danych branżowych wydarzenie odwiedza nawet 150 tysięcy uczestników, a liczba kontaktów związanych z organizacją festiwalu sięga kilkunastu tysięcy. Tak rozbudowana baza sprawia, że odpowiednie zabezpieczenie infrastruktury staje się jednym z najważniejszych elementów ochrony całego wydarzenia.

Incydent pokazuje również, że nawet najbardziej rozpoznawalne marki świata rozrywki pozostają podatne na błędy konfiguracyjne. Wystarczy jeden źle zabezpieczony serwer, aby ogromna liczba informacji trafiła do publicznego internetu i stała się potencjalnym narzędziem dla oszustów.