Miliardi di dollari spesi per organizzare la FIFA World Cup, l’evento sportivo più importante del 2026. Ma un banale bug poteva essere sfruttato per modificare lo streaming video durante la trasmissione delle partite in TV. Fortunatamente è stato scoperto da una ricercatrice giapponese (BobDaHacker) che ha segnalato il grave problema di sicurezza (risolto poche ore dopo).
Come una IPTV personale
FIFA Agent Platform è un portale pubblico che viene usato per ottenere e gestire le licenze di procuratore. BobDaHacker ha effettuato la registrazione inserendo i dati personali e una foto per la conferma dell’identità. L’account viene creato su un’istanza Microsoft Entra, la stessa per tutte le piattaforme della FIFA.
Usando l’account, la ricercatrice ha tentato di effettuare il login alla Football Data Platform. Nonostante l’avviso relativo alla mancanza dei permessi, BobDaHacker ha ottenuto l’accesso allo Streaming Management Panel, in quanto il backend non ha verificato se l’utente avesse l’autorizzazione. In quel pannello sono elencati gli URL dei flussi video RTMP con le corrispondenti chiavi di tutte le partite dei Mondiali di calcio 2026.
Per ogni partita ci sono gli stream di cinque videocamere. Dopo aver copiato un URL in VLC, la ricercatrice ha visto sul computer lo streaming in tempo reale, lo stesso che gli spettatori vedono sulle proprie TV. In pratica è come una IPTV personale. L’accesso non era solo in lettura. Si poteva anche interrompere lo streaming. Un cybercriminale avrebbe potuto sostituire il feed originale con qualsiasi video.
A causa del bug era anche possibile accedere alle piattaforme con i dati statistici di ogni partita e a quella utilizzata dai commentatori. La ricercatrice ha iniziato quindi a contattare FIFA, IBC (International Broadcast Centre), MediaKind (azienda che fornisce la piattaforma di streaming), CISA (Cybersecurity and Infrastructure Security Agency) e FBI. Solo MediaKind, CISA e FBI hanno risposto.
Il bug è stato corretto il giorno successivo. La ricercatrice non ha ricevuto nessuna comunicazione dalla FIFA. Nemmeno un “grazie”.
Ti potrebbe interessare
17 giu 2026