Eettinen hakkeri, joka tunnetaan nimellä BodDaHacker ja joka esittelee itsensä henkilönä, joka etsii tietoturva-aukkoja ja raportoi niistä vastuullisesti internetin turvallisuuden parantamiseksi, väittää löytäneensä uskomattoman tietoturva-aukon FIFA:n MM-kisapalveluista. Kuka tahansa, joka olisi löytänyt sen pahantahtoisin aikein, olisi voinut muuttaa tai häiritä koko kilpailun lähetystä.
Hakkeri rekisteröityi ensin FIFA Agent Platform -alustalle, joka on julkinen portaali, jonne kuka tahansa voi (tai voisi) kirjautua tullakseen lisensoiduksi jalkapalloagentiksi. Hän pystyi helposti ohittamaan asiakaspuolen suojaukset ja pääsi Streaming Management -hallintapaneeliin, josta hän löysi suoratoistotuotannon hallintapaneelin, jossa oli painikkeet kaikkien kamerakulmien käynnistämiseen, pysäyttämiseen ja aikatauluttamiseen.
Jos hyökkääjä olisi löytänyt tien sinne, hän olisi voinut helposti keskeyttää ottelun lähetyksen maailmanlaajuisesti tai jopa korvata kamerakuvaa millä tahansa muulla sisällöllä. ”Hyökkääjä olisi voinut ”rickrollata” koko FIFA:n maailmanmestaruuskilpailut. Tai näyttää Subway Surfers -pelin pelikuvaa. Suorana. Kaikilla televisioverkoilla ympäri maailmaa. Keskellä käynnissä olevaa ottelua.”
Mutta siinä ei vielä kaikki: hän pääsi helposti käsiksi muihin FIFA:n mediainfrastruktuurin avainosiin, kuten ottelun koko suoratoistokonsoliin, ottelun virkailijoiden tietoihin ja jopa kommentaattorien tietojärjestelmään – konsoliin, jota kommentaattorit näkevät suorien otteluiden aikana ja josta he voivat tarkastella tietoja, joita he myöhemmin jakavat yleisölleen.
”Hyökkääjä voisi:
- Muokata toimitusten kommenttimuistiinpanoja ja julkaista ne lähetysjärjestelmissä
- Muuttaa virallista ottelun alkamisaikaa
- lähettää taktisia kokoonpanotietoja
- Muuttaa tuloksia ja ottelutilastoja
- Nämä tiedot syötetään selostajien tietojärjestelmään ja näytetään suorassa televisiolähetyksessä.
"
Hakkeri ei onnistunut ottamaan yhteyttä FIFA:an, eikä hänelle osoitettu minkäänlaista kiitosta tai tunnustusta
Eettinen hakkeri julkaisi blogissaan kuvia todistaakseen havaintojaan, mutta hän ei muuttanut mitään. Hän yritti ottaa yhteyttä FIFA:an varoittaakseen heitä ja sanoi, että se oli ”hänen elämänsä stressaavin yö”, kello 3 aamulla Tokiossa. Hän ei onnistunut ottamaan yhteyttä FIFA:an sähköpostitse, puhelimitse, lehdistökanavan kautta eikä edes LinkedInistä löytämänsä FIFA:n jalkapalloteknologian ja datan johtajan Sebastian Rungen WhatsApp-numeron kautta.
Hänellä oli onnea vain, kun hän sai yhteyden MediaKingiin, kilpailun suoratoistoinfrastruktuurin ylläpitäjään; Cybersecurity and Infrastructure Security Agencyyn (CISA), joka on liittovaltion johtava taho vuoden 2026 FIFA-maailmanmestaruuskilpailujen kyberturvallisuudessa; ja jopa FBI:n yhteyshenkilöön, jotka kaikki ottivat yhteyttä FIFA:an. Hän ei pystynyt varoittamaan FIFA:ta itse.
Muutamaa tuntia myöhemmin ongelma ratkaistiin, mutta hän väittää, ettei ole saanut FIFA:lta minkäänlaista yhteydenottoa, jossa olisi tunnustettu tietoturvaloukkaus, kiitetty häntä tai keskusteltu korvauksista. ”Kun tutkijan on soitettava CISA:lle ja FBI:lle päästäkseen sinuun yhteyteen, jokin on vialla”, sanoi hakkeri.
