De Niro y Jennifer Lawrence, entre los afectados por la filtración de datos personales

El Festival de Cine de Tribeca, una emblemática plataforma de cine independiente fundada en 2002 por Robert De Niro, Jane Rosenthal y Craig Hatkoff para revitalizar el bajo Manhattan tras el 11 de septiembre, quedó envuelto en un grave incidente de ciberseguridad. Tras celebrar la edición de su 25º aniversario entre el 3 y el 14 de junio de 2026, el evento enfrentó la exposición masiva de cientos de miles de registros. Entre la información comprometida no solo figuraban materiales promocionales y kits de prensa, sino también datos de contacto pertenecientes a destacadas figuras de Hollywood, incluidos cineastas como Martin Scorsese, Francis Ford Coppola y Guillermo del Toro, e intérpretes de la talla de Jennifer Lawrence, Angelina Jolie y el propio De Niro.

La brecha fue sacada a la luz por Jeremiah Fowler, un investigador de ciberseguridad de Black Hills Information Security, quien detalló sus hallazgos en la plataforma ExpressVPN. Fowler localizó un archivo de respaldo desprotegido dentro de la base de datos que contenía registros recopilados entre 2019 y 2026, abarcando una carpeta específica de contactos con miles de entradas. El especialista utilizó un buscador especializado para ubicar este tipo de servidores expuestos en la red global. Al respecto, Fowler explicó a Variety: “He sido investigador de seguridad durante unos 15 años y siempre estoy buscando datos expuestos. He usado muchas API y herramientas diferentes. Esta la encontré usando un motor de búsqueda de IoT, que es básicamente un Google para sitios web pero para dispositivos conectados como cámaras para bebés, equipos médicos o bases de datos de almacenamiento en la nube”.

Jeremiah Fowler.

A través de un portavoz, la organización del certamen desestimó la gravedad del hallazgo asegurando que la mayor parte de la información correspondía a representantes de relaciones públicas u oficinas institucionales y que fue retirada de inmediato. No obstante, las revisiones del investigador confirmaron la presencia de nombres, teléfonos y direcciones de correo de uso cotidiano de múltiples celebridades. Fowler señaló las fallas técnicas cometidas al señalar: “Normalmente, cuando haces una copia de seguridad de algo, no lo mantienes en un entorno de producción. O lo llevas fuera de línea o lo pones en una base de datos separada, de esa manera es tu mecanismo de seguridad en caso de que algo salga mal”. Asimismo, añadió sobre las objeciones del evento: “[Tribeca] disputó en cierto modo que algunos, no todos, de los contactos pueden haber sido gestores o asistentes, pero vi muchas cuentas de correo electrónico de consumidores, como Google o Yahoo”.

El origen de la vulnerabilidad no radicó en un descuido de configuración dentro del sistema de gestión del festival. Los archivos se encontraban almacenados en formato de texto plano sin ningún tipo de cifrado, lo que permitía que cualquier usuario con una conexión a internet e instrumentos de búsqueda convencionales pudiera acceder al contenido mediante navegadores comunes. Fowler detalló el fallo humano puntual: “Un error humano de dejar el archivo de copia de seguridad en la base de datos, y el archivo de copia de seguridad estaba en texto plano, sin cifrar”. Pese al descuido inicial, el analista destacó la pronta y profesional respuesta del equipo de Tribeca para solucionar la brecha tras ser notificados, confirmando además que no halló evidencia de que terceros hayan sustraído la información para exigir rescates financieros.

Más allá del caso particular de Tribeca, el incidente expone los crecientes riesgos asociados al tratamiento de bases de datos masivas en el contexto tecnológico actual. La presencia de cuentas de correo reales en carpetas desprotegidas representa una amenaza amplificada por el uso de herramientas automatizadas y modelos de inteligencia artificial, los cuales facilitan la creación de campañas de engaño a gran escala. Sobre este riesgo emergente, Fowler advirtió: “El nivel de creatividad de los criminales se ha disparado más allá de cualquier cosa. La IA le da a cualquiera la capacidad de hacer cosas que las personas no técnicas no podían hacer antes. Ahora, podés alimentarla con información y pedirle que cree un correo electrónico de phishing. Podrías usar Claude, pedirle que cree malware, insertarlo en un documento diciendo: '¡Echa un vistazo a este guion!' y enviarlo a 135 mil personas, y alguien lo va a abrir. Es un problema muy, muy grande”.

Lejos de buscar empañar la reputación de las empresas involucradas, las auditorías e informes de seguridad pública pretenden incentivar mejores prácticas de protección en sectores alejados del ámbito estrictamente tecnológico. Este tipo de eventos suele obligar a las organizaciones a destinar recursos a pruebas de penetración y escaneos de vulnerabilidades para evitar futuros incidentes. Reflexionando sobre sus revelaciones, Fowler concluyó: “El propósito de mi informe y hallazgos no es culpar a las organizaciones. Las organizaciones que tienen un incidente de datos estadísticamente no tienen otro en tres a cinco años, ya que se convierte en un enfoque primario y dedicas los recursos a pruebas de penetración y escaneos de vulnerabilidades. Sucede a menudo, especialmente en industrias no relacionadas con la tecnología”.