Μαζική διαρροή δεδομένων από το Φεστιβάλ Tribeca αποκαλύπτει τα στοιχεία επικοινωνίας των Τζολί, Τζένιφερ Λόρενς, του Ρόμπερτ Ντε Νίρο και άλλων διασημοτήτων – Το Variety μιλάει με τον άνθρωπο που ανακάλυψε τα αρχεία.

Ο ερευνητής στον τομέα της κυβερνοασφάλειας Τζέρεμια Φάουλερ, ο οποίος αποκάλυψε τη διαρροή, μιλά στο Variety για το πώς την ανακάλυψε και τι μπορεί να γίνει για την πρόληψη διαρροών αυτού του είδους στην εποχή της τεχνητής νοημοσύνης.

666.369 εκτεθειμένες εγγραφές

Το Φεστιβάλ Tribeca υπέστη διαρροή δεδομένων που εξέθεσε εκατοντάδες χιλιάδες εγγραφές, καθώς και τα στοιχεία επικοινωνίας χιλιάδων διασημοτήτων, μεταξύ των οποίων οι Μάρτιν Σκορσέζε, Φράνσις Φορντ Κόπολα, Τζένιφερ Λόρενς, Αντζελίνα Τζολί και ο συνιδρυτής του φεστιβάλ Ρόμπερτ Ντε Νίρο.

Ο ερευνητής στον τομέα της κυβερνοασφάλειας, Τζέρεμια Φάουλερ, αποκάλυψε τη διαρροή σε μια ανάρτηση στο blog της ExpressVPN το Σαββατοκύριακο, ισχυριζόμενος ότι είχε εντοπίσει συνολικά 666.369 εκτεθειμένες εγγραφές με χρονοσημάνσεις που κυμαίνονται από το 2019 έως το 2026.

Πώς το ανακάλυψε

Ο Φάουλερ, ο οποίος εργάζεται για την Black Hills Information Security, δημοσιεύει άρθρα στο blog της ExpressVPN και στο παρελθόν ασχολούνταν με την κυβερνοασφάλεια για μια εταιρεία λογισμικού στο Κίεβο της Ουκρανίας, μίλησε στο Variety σχετικά με την ανακάλυψη της διαρροής δεδομένων.

«Εργάζομαι ως ερευνητής στον τομέα της ασφάλειας εδώ και περίπου 15 χρόνια και αναζητώ συνεχώς δεδομένα που έχουν εκτεθεί», λέει.

«Έχω χρησιμοποιήσει πολλά διαφορετικά API και εργαλεία. Αυτό το βρήκα χρησιμοποιώντας μια μηχανή αναζήτησης για το IoT, η οποία είναι ουσιαστικά ένα Google για ιστότοπους, αλλά για συνδεδεμένες συσκευές όπως κάμερες παρακολούθησης, ιατρικό εξοπλισμό ή βάσεις δεδομένων αποθήκευσης στο cloud».

Αν και η πλειονότητα των δεδομένων του Φεστιβάλ Tribeca δεν ήταν προσωπικά -αποτελούμενα από υλικό μάρκετινγκ, φακέλους τύπου και διαφημιστικές εικόνες-, υπήρχε ένα εφεδρικό αρχείο, που «περιείχε πληροφορίες που ενδεχομένως ήταν ευαίσθητες»

Το φεστιβάλ, το οποίο συνιδρύθηκε το 2002 από τον Ντε Νίρο, την Τζέιν Ρόζενθαλ και τον Κρεγκ Χάτκοφ ως μέσο αναζωογόνησης του Μανχάταν μετά τις επιθέσεις της 11ης Σεπτεμβρίου, πραγματοποιείται κάθε χρόνο στη Νέα Υόρκη και έχει φιλοξενήσει τις πρεμιέρες ταινιών από το «The Avengers» έως το «The Handmaid’s Tale», ενώ έχει βραβεύσει ταινίες όπως το «Let the Right One In».

Η διοργάνωση του Φεστιβάλ Tribeca του 2026, που σηματοδοτεί την 25η επέτειό του, πραγματοποιήθηκε από τις 3 έως τις 14 Ιουνίου.

Το φεστιβάλ εξέδωσε ανακοίνωση, στην οποία ένας εκπρόσωπος δήλωσε: «Δεν αποκαλύφθηκαν προσωπικά στοιχεία επικοινωνίας κανενός από τους καλλιτέχνες που αναφέρθηκαν σε πρόσφατα δημοσιεύματα.

»Η συντριπτική πλειοψηφία των πληροφοριών αφορούσε στοιχεία επαγγελματικής επικοινωνίας που είναι διαθέσιμα στο κοινό, όπως εκπρόσωποι δημοσίων σχέσεων, εκπρόσωποι καλλιτεχνών, διευθύνσεις ηλεκτρονικού ταχυδρομείου των γραφείων υποδοχής, πληροφορίες από τον ιστότοπο του Φεστιβάλ και άλλες πληροφορίες που ήταν ήδη διαθέσιμες στο κοινό. Όλες οι πληροφορίες αφαιρέθηκαν αμέσως μόλις εντοπίστηκαν».

Κρεμ ντε λα κρεμ

Αν και η πλειονότητα των δεδομένων του Φεστιβάλ Tribeca δεν ήταν προσωπικά -αποτελούμενα από υλικό μάρκετινγκ, φακέλους τύπου και διαφημιστικές εικόνες-, υπήρχε ένα εφεδρικό αρχείο, που «περιείχε πληροφορίες που ενδεχομένως ήταν ευαίσθητες», συμπεριλαμβανομένου ενός φακέλου με το όνομα «contacts» που περιείχε 13.535 εγγραφές, μεταξύ των οποίων «τα ονόματα, τις διευθύνσεις, τους αριθμούς τηλεφώνου και τα email» διακεκριμένων κινηματογραφιστών όπως ο Σκορσέζε, Κόπολα, Γκιγιέρμο ντελ Τόρο, Ρον Χάουαρντ και άλλων, καθώς και δημοφιλών ηθοποιών όπως ο Ντε Νίρο, η Λόρενς, η Τζολί, ο Μόργκαν Φρίμαν, ο Ράμι Μαλέκ, η Εύα Μέντες και ο Μάικλ Τζ. Φοξ.

Ο Φάουλερ σημείωσε, ωστόσο, ότι σε ορισμένα πεδία επαφών έλειπαν δεδομένα ή περιείχαν τα στοιχεία επικοινωνίας βοηθών, μάνατζερ ή υπεύθυνων δημοσίων σχέσεων αντί για προσωπικό email ή αριθμό τηλεφώνου.

«Κανονικά, όταν δημιουργείς αντίγραφο ασφαλείας για κάτι, δεν το διατηρείς σε περιβάλλον παραγωγής», λέει αναφερόμενος στο λάθος της Tribeca. «Είτε το αποσυνδέεις από το δίκτυο είτε το αποθηκεύεις σε ξεχωριστή βάση δεδομένων· έτσι αποτελεί το δίχτυ ασφαλείας σου σε περίπτωση που κάτι πάει στραβά.

13.000 επαφές

»Ένα έγγραφο περιείχε περίπου 135.000 επαφές, και υποθέτω ότι αυτές θα ήταν άτομα που είχαν εγγραφεί σε λίστες αλληλογραφίας και άτομα που παρευρίσκονται σε εκδηλώσεις. Οι διασημότητες περιλαμβάνονταν σε μια κατηγορία που ονομαζόταν «επαφές», η οποία περιείχε περίπου 13.000 επαφές».

Σύμφωνα με τον Φάουλερ, το Φεστιβάλ Tribeca διέπραξε «ένα ανθρώπινο λάθος, αφήνοντας το αρχείο αντιγράφου ασφαλείας στη βάση δεδομένων, το οποίο ήταν σε μορφή απλού κειμένου, χωρίς κρυπτογράφηση».

Αν ήταν κρυπτογραφημένο, δεν θα μπορούσε να έχει πρόσβαση σε αυτό. Ωστόσο, όπως εξηγεί, κάθε ένα από τα στοιχεία των δεδομένων ήταν διαθέσιμο σε οποιονδήποτε διέθετε σύνδεση στο διαδίκτυο, οπότε ο καθένας μπορούσε να δημιουργήσει λογαριασμό σε μια μηχανή αναζήτησης IoT και να δει τα δεδομένα σε έναν περιηγητή όπως το Chrome, το Firefox ή το Safari.

Δημοκρατικοποίηση της πειρατείας

Αν και το Φεστιβάλ Tribeca έκανε το λάθος να αφήσει τα δεδομένα εκτεθειμένα, ο Φάουλερ επαίνεσε τις ενέργειες που ανέλαβε το φεστιβάλ μετά τις αποκαλύψεις του, παραδεχόμενος ότι το φεστιβάλ «ανταποκρίθηκε πολύ γρήγορα και επαγγελματικά».

Επιπλέον, «δεν είδε κανένα στοιχείο που να δείχνει ότι κάποιος άλλος είχε πρόσβαση σε αυτά», καθώς συνήθως τα δεδομένα που έχουν παραμείνει εκτεθειμένα για μεγάλο χρονικό διάστημα συνοδεύονται από αυτόματες αναρτήσεις ransomware που ζητούν διάφορα ποσά σε bitcoin, και κάτι τέτοιο δεν υπήρχε.

Προειδοποιεί ότι η έκθεση των προσωπικών δεδομένων των ανθρώπων, όπως οι λογαριασμοί ηλεκτρονικού ταχυδρομείου, αποτελεί ακόμη μεγαλύτερη απειλή στην εποχή της τεχνητής νοημοσύνης, η οποία έχει «δημοκρατικοποιήσει» την πειρατεία.

«Δες αυτό το σενάριο»

«Το επίπεδο δημιουργικότητας των εγκληματιών έχει εκτοξευθεί πέρα από κάθε φαντασία. Η τεχνητή νοημοσύνη δίνει σε οποιονδήποτε τη δυνατότητα να κάνει πράγματα που οι άνθρωποι χωρίς τεχνικές γνώσεις δεν μπορούσαν να κάνουν στο παρελθόν», εξηγεί.

«Τώρα, μπορείς να της δώσεις πληροφορίες και να της ζητήσεις να δημιουργήσει ένα email phishing. Μπορείς να χρησιμοποιήσεις το Claude, να του ζητήσεις να δημιουργήσει κακόβουλο λογισμικό, να το εισάγεις σε ένα έγγραφο λέγοντας: “Δες αυτό το σενάριο!” και να το στείλεις σε 135.000 άτομα, και κάποιος θα το ανοίξει. Είναι ένα πολύ, πολύ σοβαρό ζήτημα».

Πρωταρχική προτεραιότητα

Ως έμπειρος ερευνητής στον τομέα της κυβερνοασφάλειας, ο Φάουλερ υποστηρίζει ότι η αποστολή του δεν είναι να εκθέσει τις εταιρείες, αλλά να τους δείξει πού βρίσκονται τα τρωτά τους σημεία και να τις ωθήσει να βελτιώσουν την κυβερνοασφάλειά τους, ώστε οι πληροφορίες τους να μην πέσουν σε λάθος χέρια στο μέλλον.

«Ο σκοπός της έκθεσής μου και των ευρημάτων μου δεν είναι να εκθέσω τις εταιρείες», λέει.

«Οι εταιρείες που έχουν υποστεί κάποιο περιστατικό παραβίασης δεδομένων, στατιστικά δεν αντιμετωπίζουν άλλο περιστατικό για τρία έως πέντε χρόνια, καθώς το θέμα αυτό γίνεται πρωταρχική προτεραιότητα και αφιερώνουν πόρους σε δοκιμές διείσδυσης και ελέγχους ευπαθειών. Αυτό συμβαίνει συχνά, ειδικά σε κλάδους που δεν σχετίζονται με την τεχνολογία».