Jako redaktor zajmujący się bezpieczeństwem cyfrowym, muszę przyznać, że sytuacja wokół organizacji mundialu 2026 jest niezwykle niepokojąca. Badaczka bezpieczeństwa Bob Da udowodniła, iż systemy zarządzające kamerami i transmisjami są narażone na poważne zagrożenia.
Podstawa ataku: publiczne konto dla agentów
Mechanizm włamania opierał się na prostej, lecz krytycznej błędzie w konfiguracji tożsamości cyfrowej. Wystarczyło założyć zwykłe konto w publicznie dostępnym systemie przeznaczonym dla agentów piłkarskich.
Problem polegał jednak na tym, że po rejestracji nowe użytkowniki były automatycznie dodawane do tego samego systemu uwierzytelniania, z którego korzystały wewnętrzne aplikacje FIFA. Oznacza to, iż zewnętrzny dostęp był traktowany tak samo jak wewnętrznego.
Iluzja braku uprawnień
Niezależnie od tego, co sugerowały komunikaty na ekranie o braku odpowiednich upoważnień, serwer działał zupełnie inaczej. W rzeczywistości zwracał dane użytkownika bez żadnych ograniczeń.
Badaczka dzięki temu uzyskała dostęp do panelu zarządzania transmisjami mistrzostw świata 2026, gdzie znajdowały się kluczowe informacje o nadchodzących meczach i adresy strumieniowania.
Klucze jako punkt słabego ogniwa
Najbardziej niebezpieczne były klucze szyfrujące niezbędne do odbioru sygnału wideo. Posiadając je, atakujący mógłby nie tylko oglądać transmisję, ale także podmienić ją na własny materiał.
Teoretycznie oznaczałoby to możliwość wyświetlania dowolnych filmów zamiast oficjalnego obrazu z boiska, co mogłoby całkowicie zmienić przebieg widowiska dla milionów widzów.
Komunikacja i brak reakcji
Największym wyzwaniem nie było samo znalezienie błędu w kodzie, lecz dotarcie do odpowiednich osób odpowiedzialnych za bezpieczeństwo organizacji. Badaczka musiała wysyłać maile, dzwonić telefonicznie a nawet kontaktować się z FBI.
Proces ten trwał zbyt długo i zakończył się bez żadnej nagrody ani formalnego uznania jej wkładu w wykrycie luki. W świecie cyberbezpieczeństwa brak odpowiedniej stymulacji finansowej dla badaczy może prowadzić do ignorowania krytycznych zagrożeń.
Dumny Polak i bojkot
W takich momentach, gdy organizatorzy zamykają oczy na znalezione przez innych luki bezpieczeństwa, czujemy się wyjątkowo dumni. Nasze decyzje dotyczące udziału w wydarzeniach sportowych są zawsze podejmowane z głową.
Perspektywa przyszłych mistrzostw
Warto pamiętać, że podobne błędy mogą dotyczyć innych dużych organizacji międzynarodowych zarządzających masowymi eventami. Bezpieczeństwo transmisji wideo wymaga ciągłej uwagi i profesjonalnego podejścia do audytu systemów.