En etisk hacker kjent som BodDaHacker, som presenterer seg selv som en person som leter etter sikkerhetshull og deretter rapporterer dem på en ansvarlig måte for å bidra til å gjøre internett tryggere, hevder å ha funnet et utrolig sikkerhetsbrudd i FIFAs VM-tjenester. Enhver som hadde oppdaget dette med ondsinnede hensikter, kunne ha endret eller forstyrret hele sendingen av turneringen.
Hackeren registrerte seg først på FIFA Agent Platform, en offentlig portal hvor hvem som helst kan (eller kunne) logge seg inn for å bli lisensiert fotballagent. Hun klarte lett å omgå sikkerhetsbarrierer på klientsiden og kom seg inn i Streaming Management-panelet, der hun fant liveproduksjonspanelet med knapper for å starte, stoppe og planlegge for alle kameravinkler.
Hvis en angriper hadde funnet veien inn dit, kunne vedkommende enkelt ha stoppet direktesendingen av kampen over hele verden, eller til og med erstattet kamerabildet med hva som helst annet. «En angriper kunne ha ‘Rickrollet’ hele FIFA-VM. Eller spilt Subway Surfers. Direkte. På alle TV-kanaler over hele verden. Midt i en pågående kamp.»
Men det er mer: hun kom lett inn i andre sentrale deler av FIFAs medieinfrastruktur, som for eksempel det fullstendige live-kampdashbordet, data om kampdommerne og til og med kommentatorinformasjonssystemet – et dashbord som kommentatorene ser under live-kamper, der de kan se informasjon som de senere deler med publikum.
«En angriper kunne:
- Endre redaksjonelle kommentarnotater og publisere dem til kringkastingssystemene
- Endre det offisielle avsparkstidspunktet
- Sende taktiske oppstillingsdata
- Endre resultater og kampstatistikk
- Disse dataene mates inn i kommentatorinformasjonssystemet og vises på direktesendt TV.
"
Hackeren klarte ikke å kontakte FIFA, og ble deretter verken takket eller anerkjent på noen måte
Den etiske hackeren la ut bilder på bloggen sin for å bevise funnene sine, men hun endret ingenting. Hun prøvde å kontakte FIFA for å advare dem, og sa at det var «den mest stressende natten i livet hennes», klokka 03.00 om natten i Tokyo. Hun klarte ikke å kontakte FIFA via e-post, telefon, presselinjen eller engang WhatsApp-nummeret til sjefen for fotballteknologi og data hos FIFA, Sebastian Runge, som hun fant på LinkedIn.
Hun hadde bare hell med å få kontakt med MediaKing, strømmetjenesten som står for infrastrukturen for turneringen; med Cybersecurity and Infrastructure Security Agency (CISA), den føderale ledende instansen for cybersikkerhet for FIFA-VM 2026; og til og med med en kontakt i FBI – som alle tok kontakt med FIFA. Hun klarte ikke å advare FIFA selv.
Noen timer senere var problemet løst, men hun hevder at hun ikke har blitt kontaktet av FIFA for å bekrefte sikkerhetsbruddet, takke henne eller diskutere erstatning. «Når en forsker må ringe CISA og FBI for å nå dere, er det noe som ikke stemmer», sa hackeren.
