TL;DR : L’essentiel
- Un chercheur en cybersécurité a découvert qu’une simple inscription publique sur la plateforme des agents de la FIFA permettait d’intégrer l’annuaire d’entreprise global de l’organisation sportive sans vérification approfondie.
- Cette intégration donnait accès aux interfaces de diffusion en direct, offrant la possibilité théorique d’interrompre les flux ou d’injecter des vidéos arbitraires sur les réseaux de télévision mondiaux.
- Malgré la gravité critique de l’incident, le signalement a été un parcours du combattant pour l’expert, qui a dû alerter des agences fédérales américaines pour obtenir finalement une correction rapide.
Prendre le contrôle des caméras d’un match de la Coupe du Monde de football depuis un simple ordinateur à Tokyo est un exploit qui a failli devenir réalité. C’est le scénario démontré d’une faille de sécurité de la FIFA, récemment corrigée en toute discrétion. Une simple carte d’identité et un portrait photographique d’identité ont suffi pour s’introduire dans les systèmes de diffusion les plus verrouillés de la planète, comme le révèle le chercheur sur son blog.
Faille de sécurité de la FIFA : les coulisses d’une API sans contrôle
La faille de sécurité de la FIFA repose sur une erreur de conception classique mais potentiellement catastrophique. Lors de l’inscription sur la plateforme publique des agents de l’organisation sportive, l’utilisateur est automatiquement ajouté à l’annuaire d’entreprise Microsoft Entra. Cet annuaire gère l’accès à l’ensemble des applications internes.
L’application vérifiait localement les droits d’accès du jeton de sécurité et affichait un message de refus aux profils sans rôle spécifique. Cependant, les interfaces de programmation applicative, ou API, situées côté serveur ne réalisaient aucun contrôle. Tout compte authentifié pouvait ainsi interroger directement le serveur et obtenir l’intégralité des données confidentielles.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Analyse
Ce récit démontre qu’un chercheur bienveillant aurait pu saboter la diffusion mondiale de la Coupe du Monde de la FIFA avec une simple carte d’identité. Une fois de plus, l’absence de processus clair pour signaler et corriger rapidement des vulnérabilités critiques constitue le véritable point noir de cette affaire. Pour se faire entendre, l’expert a dû multiplier les appels en pleine nuit auprès de la FIFA, de la CISA et du FBI avant d’obtenir une réaction.
Flux vidéo et données de match : une infrastructure télévisuelle exposée
La résolution de la faille de sécurité de la FIFA a mis fin à une exposition critique de l’infrastructure de diffusion. Depuis le panneau de gestion, le chercheur avait en effet accès aux clés de flux et aux adresses de serveurs de diffusion en transit pour chaque rencontre. En ouvrant un lecteur multimédia comme VLC, il a pu visualiser en direct le flux tactique d’un match opposant la Côte d’Ivoire à l’Équateur, directement sur son écran. Un attaquant aurait pu utiliser ces accès pour couper les signaux ou diffuser n’importe quelles vidéos à la place du match sur les téléviseurs du monde entier.
L’accès non autorisé s’étendait également au système d’information des commentateurs sportifs et à la modification des statistiques de match. Des personnes malveillantes auraient pu modifier le score, décaler l’heure du coup d’envoi ou éditer les notes d’analyse affichées en direct à la télévision. De plus, une application exposait les adresses de téléchargement de 23 fichiers internes, dont des rapports financiers et des bases de données de transferts.
Bien que l’infrastructure défaillante ait été corrigée en urgence sans réponse officielle de l’organisation, cet incident met en lumière les lacunes persistantes des grandes institutions sportives en matière de procédure en cas de divulgation de vulnérabilités. En l’absence de programme de récompense ou de contact de sécurité dédié, la sécurisation des données repose encore souvent sur la persévérance de chercheurs indépendants.
Questions fréquentes sur la vulnérabilité de la FIFA
Comment s’est produite l’intrusion dans les systèmes de la FIFA ?
L’accès a été obtenu en s’enregistrant légitimement sur la plateforme publique des agents de la FIFA. Cette inscription ajoutait automatiquement l’utilisateur à l’annuaire d’entreprise global de l’organisation, lui ouvrant la porte aux applications internes.
Quel était le défaut technique à l’origine de cette vulnérabilité ?
Le système s’appuyait uniquement sur une vérification de sécurité côté client pour bloquer les utilisateurs sans droits. Les serveurs de l’application quant à eux ne validaient pas les rôles des utilisateurs et transmettaient toutes les requêtes demandées sans vérification.
Quels types d’actions un attaquant aurait-il pu réaliser ?
Un pirate aurait pu couper ou remplacer les flux vidéo de la Coupe du Monde par d’autres contenus sur les télévisions du monde entier. Il lui était également possible de modifier en temps réel les scores, les statistiques de match et les commentaires affichés à l’écran.
Comment la faille de sécurité de la FIFA a-t-elle été corrigée ?
Après des signalements successifs auprès du prestataire technique de diffusion, de l’agence américaine de cybersécurité CISA et du FBI, les serveurs ont été configurés pour bloquer l’accès aux profils non autorisés. L’organisation sportive a appliqué le correctif sans toutefois répondre officiellement au chercheur.
Pour approfondir le sujet
Arnaques à la Coupe du Monde: les faux sites débarquent déjà
La prolifération d'arnaques à la Coupe du Monde de football pousse le FBI à alerter sur de faux sites imitant parfaitement la billetterie officielle. Lire la suite
Fausses vidéos sur Polymarket : l'illusion dupe les internautes
La plateforme Polymarket a payé des créateurs pour publier des fausses vidéos sur Polymarket. Cette méthode trompeuse simule des gains de paris irréels. Lire la suite
Zéro paywall. Zéro pub.
DCOD reste en accès libre grâce à vos contributions. Chaque café compte.
