У Чемпіонаті світу з футболу виявлено вразливість електронної системи, що дозволяла несанкціонований доступ до глобальних трансляцій

Система FIFA стала жертвою хакерського нападу через уразливість

Дослідниця з псевдонімом BobDaHacker у своєму блозі розповіла, що завдяки вразливості у безпеці вебпорталу їй вдалося отримати доступ до кількох внутрішніх платформ FIFA. Це давало можливість не лише переглядати та транслювати матчі, а й повністю контролювати трансляції Чемпіонату світу з футболу по всьому світу, у тому числі зупиняти їх.

“У FIFA існує платформа, відома як FIFA Agent Platform. Це публічний портал, де ви можете зареєструватися, щоб стати ліцензованим футбольним агентом. Вам потрібно лише надіслати своє посвідчення особи та підтвердити електронну пошту, і ви вже в мережі. Це досить просто.

Але те, що сталося далі, мене здивувало,” – ділиться вона. – “Коли ви реєструєтеся на agents.fifa.org, ваш обліковий запис додається до клієнта Microsoft Entra (раніше Azure AD), який забезпечує роботу всіх внутрішніх платформ FIFA. Я маю на увазі всі.”

Хакерка зареєструвалася на платформі як футбольний агент, використавши власне посвідчення. Завдяки цій обліковці та недоліку в API FIFA, що не перевіряв права користувача, їй вдалося отримати доступ до внутрішніх платформ організації. Вона детально описувала свої експерименти у блозі.

Серед доступних їй систем була також та, що дозволяє мовникам контролювати те, що транслюється на телевізорах глядачів по всьому світу, та те, що відображається на екранах коментаторів. Вона могла виконувати будь-які дії у цій системі, навіть зупиняти трансляції.

“Це не були якісь тестові дані чи середовище розробки. Це була справжня панель керування для прямих трансляцій Чемпіонату світу з футболу 2026. Кожен матч, кожен ракурс камери, кожна URL-адреса для RTMP-запису, кожен ключ трансляції,” – зазначила BobDaHacker.

BobDaHacker повідомила FIFA про вразливість 16 квітня, і організація виправила проблему всього за кілька годин. Проте FIFA не відреагувала на її повідомлення: не підтвердила, не подякувала, не обговорила можливу компенсацію – нічого.

Читайте також: У Microsoft 365 Copilot виявили критичний баг, який дозволяв викрадати конфіденційні дані одним кліком