FIFA miała lukę w systemie transmisji MŚ 2026. Wystarczył login agenta, aby dobrać się do streamów i danych meczowych

Przy wielkich imprezach sportowych zwykle mówi się o opóźnieniach transmisji, geoblokadach i sporach o prawa medialne. Tym razem sprawa zeszła kilka poziomów niżej, do warstwy, której widz zwykle nie widzi i nie powinien widzieć. Badacz bezpieczeństwa opisał lukę, przez którą można było wejść do wewnętrznych platform FIFA obsługujących mundial 2026, a następnie uzyskać dostęp do narzędzi związanych z transmisją i danymi meczowymi.

FIFA potknęła się na banalnej kontroli uprawnień użytkownika. To gorsza wiadomość niż sam incydent, bo pokazuje, że przy transmisji oglądanej przez cały świat zawiódł absolutny fundament.

Stary ERP, nowy koszmar. Jedna luka w PeopleSoft otworzyła hakerom drzwi do danych uczelni i firm

Według ustaleń TechCrunch, a także opisu BobDaHacker, wejście zaczynało się od rejestracji w publicznej platformie dla agentów FIFA. Taki login trafiał do tego samego tenanta Microsoft Entra (wydzielona, odrębna „instancja” systemu tożsamości Microsoft w chmurze dla konkretnej organizacji), z którego korzystały systemy wewnętrzne. Front-end ograniczał dostęp, ale backend nie weryfikował poprawnie ról. W efekcie możliwe było wyciągnięcie danych z paneli, do których zwykły użytkownik nie powinien mieć dostępu, w tym ze Streaming Management Panel z listą meczów, adresami RTMP i kluczami streamów.

Meta AI Support Assistant umożliwił przejęcia kont na Instagramie. Bot zmieniał adres e-mail i otwierał drogę do resetu hasła

Problem nie kończył się na podglądzie danych. BobDaHacker twierdzi, że możliwe było zatrzymanie feedów kamer, podmiana sygnału, a także modyfikacja statystyk, godzin rozpoczęcia, ustawień taktycznych i notatek dla komentatorów w Football Data Platform i Commentator Information System. Dla widza oznacza to, że dane ekranowe, komentarz i obraz nie były tak odseparowane i chronione, jak powinny przy wydarzeniu tej skali. FIFA miała załatać problem w kilka godzin, ale według iTnews badacz nie otrzymał odpowiedzi, a mimo to dalej dostawał dokumenty meczowe przez listę dystrybucyjną. Jeśli to „cyfrowa kuchnia” mundialu, to drzwi były szeroko otwarte.