Een datalek gekoppeld aan het Tribeca Film Festival heeft contactgegevens van Angelina Jolie, Robert De Niro en andere bekende namen in omloop gebracht, wat nieuwe vragen oproept over hoe oplichting met gelekte gegevens van beroemdheden überhaupt begint. De onderzoeker die de blootgestelde database ontdekte, omschreef deze als een van de grootste verzamelingen persoonlijke informatie van beroemdheden die ze ooit hadden gezien, en de ontdekking heeft de aandacht opnieuw gevestigd op de hoeveelheid gevoelige gegevens die evenementenorganisatoren en leveranciers stilletjes verzamelen over de mensen die aanwezig zijn, sponsoren of deelnemen aan hun programma's.

Hoe het Tribeca-datalek plaatsvond en wat er werd blootgesteld

Volgens berichtgeving over het incident was de blootgestelde dataset gekoppeld aan systemen die verbonden zijn met het Tribeca Film Festival en bevatte deze naar verluidt contactinformatie van Hollywoodsterren als Angelina Jolie, Robert De Niro, Martin Scorsese en Sharon Stone. Het festival heeft de gegevens inmiddels verwijderd en een onderzoek ingesteld, maar de blootstelling zelf herinnert ons eraan dat grote evenementen veel meer persoonlijke informatie verzamelen dan de meeste deelnemers beseffen: namen, telefoonnummers, e-mailadressen en andere identificerende gegevens die worden doorgegeven tussen organisatoren, sponsors, ticketingplatforms en externe leveranciers.

De onderzoeker die het lek ontdekte, noemde het een van de meest uitgebreide verzamelingen van gegevens van beroemdheden die tot nu toe zijn aangetroffen, niet vanwege één enkel dramatisch beveiligingslek, maar omdat zoveel verschillende systemen en partners toegang hadden tot dezelfde onderliggende informatie. Dat is een veelvoorkomend patroon bij moderne datalekken: het is zelden de fout van één bedrijf, maar een keten van leveranciers die elk een stukje van de puzzel in handen hebben.

Waarom gelekte persoonlijke gegevens gerichte social engineering-oplichting aanwakkeren

Wat dit lek opmerkelijk maakt, is niet alleen dat het gebeurde, maar wat cybercriminelen met de informatie kunnen doen. Contactgegevens op zich lijken misschien minder riskant dan wachtwoorden of financiële gegevens, maar ze zijn precies wat nodig is om overtuigende social engineering-oplichting uit te voeren. Aanvallers kunnen gelekte telefoonnummers en e-mailadressen gebruiken om zich voor te doen als de assistent, agent of familielid van een beroemdheid, phishingberichten opstellen die verwijzen naar echte evenementdetails, of de beroemdheden rechtstreeks benaderen met malwarebijlagen die vermomd zijn als festivalcorrespondentie.

Dit is hetzelfde draaiboek dat we zagen bij andere grootschalige lekken. Toen het falen van de datalekmelding van Suno miljoenen gebruikers onwetend liet dat hun gegevens waren blootgesteld, was het risico niet het lek zelf, maar wat daarna kwam: oplichters hadden een voorsprong omdat slachtoffers niet wisten dat ze op hun hoede moesten zijn. Lekkenhandelaren hebben ook hele operaties opgezet rond het verpakken en doorverkopen van dit soort contact- en identiteitsgegevens; de groep die werd uitgeroepen tot top-datalekhandelaar van H1 2026 toonde aan hoe efficiënt gestolen persoonlijke informatie van blootstelling naar actieve uitbuiting beweegt.

Dit is niet alleen een probleem voor beroemdheden

Het is verleidelijk om dit verhaal te lezen als een Hollywood-curiositeit, maar de onderliggende mechanismen zijn van toepassing op iedereen die zich ooit heeft geregistreerd voor een conferentie, zich heeft aangemeld voor een loyaliteitsprogramma of een e-mailadres aan een leverancier heeft gegeven. Gegevensmakelaars en evenementenplatforms aggregeren routinematig persoonlijke details van gewone mensen, en die informatie belandt in hetzelfde soort blootgestelde databases en lekmarkten die de Tribeca-gegevens hebben onthuld. De omvang kan overweldigend zijn: incidenten zoals het Paidwork-lek waarbij 23 miljoen records aan Have I Been Pwned zijn toegevoegd of het Odido-lek dat 6,5 miljoen telecomklanten trof laten zien dat gewone gebruikers net zo blootgesteld zijn als publieke figuren, alleen zonder de krantenkoppen.

De echte les uit het Tribeca-lek is dat oplichting met gegevens van beroemdheden en alledaagse phishingpogingen uit dezelfde bron putten: persoonlijke informatie die ooit is verzameld, ergens is opgeslagen en uiteindelijk is blootgesteld, hetzij door een inbreuk, hetzij door een eenvoudige verkeerde configuratie.

Wat dit voor jou betekent

Je hoeft niet beroemd te zijn om een doelwit te zijn. Als je contactgegevens ooit onderdeel zijn geweest van een datalek, en gezien de enorme hoeveelheid gelekte inloggegevens die in omloop zijn, waaronder verzamelingen zo groot als de 19 miljard wachtwoorden die werden blootgesteld in RockYou2024, is er een redelijke kans dat een deel van jouw gegevens al circuleert. De praktische reactie is niet paniek, maar bewustzijn. Weten wat er is, stelt je in staat verdachte berichten te herkennen, je accounts beter te beveiligen en twee keer na te denken voordat je persoonlijke gegevens aan nog een leverancier of inschrijfformulier verstrekt.

Praktische stappen om je blootstelling te beperken

Een paar gewoonten helpen al enorm om je risico op oplichting met gelekte gegevens van beroemdheden en hun alledaagse equivalenten te verkleinen:

  • Controleer regelmatig bronnen die datalekken bijhouden om te zien of je e-mailadres of telefoonnummer is verschenen in een bekend lek.
  • Gebruik een apart of gemaskeerd e-mailadres bij het registreren voor evenementen, wedstrijden of eenmalige diensten.
  • Wees sceptisch over ongevraagde berichten die verwijzen naar evenementen die je hebt bijgewoond, zelfs als de details juist lijken.
  • Beperk hoeveel persoonlijke informatie je deelt met externe leveranciers en lees privacyverklaringen voordat evenementen je gegevens verzamelen.
  • Overweeg privacy-tools, zoals een VPN of een speciale wachtwoordmanager, wanneer je je aanmeldt voor nieuwe platforms om te verminderen hoeveel identificerende informatie aan je dagelijkse browsegedrag is gekoppeld.

Het Tribeca-lek is een spraakmakend voorbeeld, maar de risico's die het illustreert, zijn breed van toepassing. Persoonlijke contactgegevens zijn waardevol voor oplichters, juist omdat ze geloofwaardige imitatie mogelijk maken, en hoe meer plaatsen je informatie zich bevindt, hoe groter de kans dat deze wordt blootgesteld. Enkele minuten nemen om nu je eigen blootstelling te controleren is een veel betere tijdsbesteding dan later de gevolgen van een gerichte oplichterij te moeten afhandelen.