Una grave vulnerabilità è stata scoperta nei sistemi di streaming della FIFA destinati alla prossima Coppa del Mondo, rivelando un difetto critico che avrebbe potuto consentire la manipolazione illimitata delle trasmissioni televisive. Un ricercatore di sicurezza, noto con lo pseudonimo di BobDaHacker, ha individuato questa falla che permetteva l'accesso non autorizzato ai flussi video, utilizzati per veicolare le partite ai telespettatori di tutto il mondo.
La scoperta della falla di sicurezza
Il ricercatore ha ottenuto l'accesso non autorizzato registrandosi falsamente come agente di calciatori sul portale ufficiale della FIFA.
L'accesso è stato reso possibile da una mancata verifica di autorizzazione nel backend API della piattaforma. Questo errore significativo avrebbe potuto permettere a chiunque di manipolare i flussi video delle trasmissioni televisive durante le partite del mondiale.
BobDaHacker ha illustrato come un potenziale aggressore avrebbe potuto prendere il controllo simultaneo di tutte le videocamere durante l'evento, ipotizzando scherzosamente la possibilità di "rickrollare" l'intera Coppa del Mondo. Nonostante la vulnerabilità sia stata prontamente scoperta e comunicata, la FIFA non ha rilasciato alcuna dichiarazione pubblica in merito.
Dettagli tecnici della vulnerabilità
Il problema tecnico risiedeva nel fatto che il sistema di streaming faceva affidamento unicamente su controlli lato client, gestiti tramite Entra, la piattaforma di autenticazione di Microsoft.
Questa debolezza ha consentito al ricercatore di accedere al Streaming Management Platform, una piattaforma interna dove era possibile consultare e modificare i flussi provenienti dalle diverse telecamere posizionate negli stadi.
I flussi erano organizzati per partita e includevano URL chiave RTMP, facilitando così la sostituzione dei contenuti trasmessi con feed video personalizzati. L'utilizzo di UUID identici per ogni flusso suggeriva inoltre l'impiego di una chiave universale, rendendo il dirottamento dei flussi relativamente semplice per chi avesse avuto accesso non autorizzato.
Risoluzione e implicazioni future
La scoperta è stata notificata alle autorità competenti, inclusa l'FBI, e il problema è stato risolto entro 24 ore.
Tuttavia, la mancata risposta pubblica della FIFA solleva interrogativi sulla trasparenza nella gestione dei propri sistemi di sicurezza informatica, specialmente in contesti di eventi di portata globale come la Coppa del Mondo.
Le implicazioni di questa vulnerabilità andavano oltre il semplice accesso illecito: il rischio di manipolazioni avrebbe potuto compromettere seriamente l'integrità delle trasmissioni, con conseguenze significative per i broadcaster e gli sponsor. Questa situazione sottolinea l'importanza cruciale di implementare sistemi di sicurezza robusti e verifiche rigorose delle autorizzazioni, soprattutto per le trasmissioni globali.
In un'era dove la fruizione dello sport è sempre più legata al digitale, garantire la sicurezza informatica diventa fondamentale non solo per proteggere l'integrità degli eventi sportivi, ma anche per salvaguardare i dati e la privacy degli spettatori a livello mondiale.
