Konfigurationsfehler legt Kontaktdaten von Hollywood-Stars offen

Ungesicherte Datenbanken des Tribeca Film Festivals gaben Kontaktdaten frei. Das Festival bestreitet die Veröffentlichung privater Promi-Daten.

Der Sicherheitsforscher Jeremiah Fowler von Black Hills Information Security hat vier ungesicherte Datenbanken entdeckt, die dem Tribeca Film Festival zugeordnet werden. Die Datensätze umfassten insgesamt 666.369 Einträge aus den Jahren 2019 bis 2026. Zu den gefundenen Namen in den Systemen gehörten unter anderem die Hollywood-Stars Angelina Jolie, Robert De Niro, Martin Scorsese, George Lucas, Morgan Freeman, Jennifer Lawrence, Steven Spielberg und Sharon Stone.

Die Datenbanken enthielten Namen, E-Mail-Adressen, Telefonnummern, Postadressen, interne Kommunikationen, Pressematerialien sowie Gerätedaten wie verwendete iPhone- und Browser-Versionen. In einer Backup-Datei der Produktionsdatenbank befanden sich zudem IP-Adressen sowie gehashte Passwörter. Die Datensätze gliederten sich auf folgende Umgebungen auf:

• Development: 203.370 Datensätze
• Staging: 224.999 Datensätze
• Production: 238.000 Datensätze
• Content Management System (CMS)

Stellungnahme des Veranstalters und Dementi

Ein Sprecher des Tribeca Film Festivals teilte mit, dass die Datenbanken nach dem Hinweis umgehend abgesichert wurden. Der Veranstalter bestritt jedoch, dass persönliche Kontaktdaten von Prominenten offengelegt worden seien. Der Sprecher erklärte dazu:

„Die überwiegende Mehrheit der Informationen bestand aus öffentlich zugänglichen geschäftlichen Kontaktdaten, einschließlich PR-Vertretern, Talent-Vertretern, E-Mail-Adressen der Zentrale, Informationen von der Festival-Website und anderen Informationen, die bereits öffentlich verfügbar waren.“

Anzeige

Sprecher des Tribeca Film Festivals

Fowler bestätigte, dass einige Kontaktfelder leer waren oder Kontakte von Assistenten und dem Management enthielten. Er wies jedoch darauf hin, dass freiliegende interne Daten Kriminellen detaillierte Einblicke in nicht-öffentliche Abläufe des Festivals ermöglichen könnten.

Bewertung des Vorfalls und Risiken für Betroffene

Sicherheitsexperten führen den Vorfall auf eine einfache Fehlkonfiguration zurück. Muhammad Yahya Patel, CISO und Sicherheitsberater bei Huntress, bewertete den Vorfall folgendermaßen: „Der Vorfall beim Tribeca Film Festival erinnert daran, dass die glamourösesten Namen der Welt nur so sicher sind wie der am wenigsten glamouröse Teil ihres digitalen Fußabdrucks. Kein hochentwickelter Angriff, kein staatlicher Akteur, kein Zero-Day-Exploit. Nur eine Fehlkonfiguration, über die jeder mit einem Browser und Grundkenntnissen hätte stolpern können. Kombiniert mit Gerätedaten ist es auch ein nützliches Aufklärungspaket für gezielte Phishing-Versuche gegen Personen, deren persönliches und finanzielles Leben sie zu attraktiven Zielen macht.“

Das Tribeca Film Festival wird jährlich von 130.000 bis 150.000 Personen besucht, wobei rund 13.000 Branchenkontakte für die Veranstaltung registriert sind.

(red)