Bug FIFA ai Mondiali 2026: chiunque avrebbe potuto sostituire il segnale TV di ogni partita

Registrarsi come agente di calcio su agents.fifa.org era tutto ciò che serviva per ottenere accesso completo ai sistemi interni della FIFA durante la Coppa del Mondo 2026, compresi i controlli in tempo reale di ogni partita e di ogni angolo di telecamera. La vulnerabilità è stata scoperta dalla ricercatrice di sicurezza BobDaHacker e descritta nel dettaglio nel suo blog; la FIFA ha risolto la falla poche ore dopo la segnalazione, senza mai rispondere.

Un tenant Entra, nessun controllo lato server

La registrazione su agents.fifa.org aggiunge automaticamente l'account al tenant Microsoft Entra della FIFA, lo stesso su cui si appoggiano tutte le piattaforme interne dell'organizzazione. La falla è stata individuata nel backend API: i frontend in Angular, React o Vue verificavano i token JWT per i ruoli utente e mostravano pagine di accesso negato agli utenti non autorizzati, ma il backend serviva i dati a chiunque risultasse autenticato nel tenant, indipendentemente dai permessi effettivi. L'autorizzazione è rimasta di fatto delegata interamente al client, senza alcun riscontro lato server.

Fonte: BobDaHacker

Con un account privo di ruoli, BobDaHacker ha raggiunto il pannello di gestione dello streaming di fdp.fifa.org, dove erano elencate tutte le partite in programma per quel giorno del Mondiale 2026 con i relativi controlli. Ogni partita esponeva cinque angoli di telecamera (PGM, Tactical, Camera1, High Behind Left, High Behind Right), ciascuno con URL RTMP di ingest, manifest di anteprima HLS e URL di output verso i partner di trasmissione. La chiave di streaming era unica per partita e condivisa tra tutti e cinque i punti di ripresa.

Per verificare che i flussi funzionassero davvero, la ricercatrice ha aperto un manifest in VLC mentre una partita era in corso: il feed della telecamera tattica si è caricato in tempo reale sul suo PC a Tokyo.

Dalla sostituzione del segnale alla modifica dei punteggi

Il pannello includeva controlli completi di avvio, arresto e programmazione per ogni partita e ogni angolo. Inviare video a uno degli endpoint RTMP con la relativa chiave avrebbe sostituito il feed di quella telecamera. Il feed PGM è il segnale principale di trasmissione: intervenire su di esso avrebbe fatto arrivare a ogni rete televisiva che riceve il segnale FIFA qualunque contenuto l'attaccante avesse scelto di trasmettere. Con la chiave condivisa tra tutti gli angoli della stessa partita, un singolo attaccante avrebbe potuto dirottare simultaneamente tutte le telecamere.

Fonte: BobDaHacker

L'accesso non era limitato allo streaming. Lo stesso account raggiungeva l'intera piattaforma interna: Competitions, Matches, Teams, Tools, Exchange Platform, Analysis Dashboard, il Commentator Information System con dati live, formazioni tattiche e statistiche in tempo reale, FIFA AI Pro e la sezione Admin. Dal pannello editoriale era possibile modificare note di commento e pubblicarle nei sistemi di trasmissione, regolare l'orario ufficiale del calcio di inizio, inviare dati di formazione tattica e alterare punteggi e statistiche di partita. La ricercatrice ha trovato anche un'Azure Function esposta che restituiva URL di accesso diretto ad Azure Blob Storage per 23 file interni.

La FIFA non dispone di un programma di bug bounty, non ha un security.txt e non pubblica contatti di sicurezza. BobDaHacker ha segnalato la vulnerabilità martedì sera ora di Tokyo a MediaKind, alla CISA e a propri contatti dell'FBI. Il problema è stato corretto poche ore dopo e, al momento, la FIFA non ha risposto.