Исследовательница, известная под псевдонимом BobDaHacker, получила доступ к внутренним платформам Международной федерации футбола (ФИФА) из-за элементарного недостатка в безопасности веб-портала. На её месте злоумышленник мог бы не только смотреть и транслировать матчи, но и полностью контролировать трансляции Чемпионата мира по футболу по всему миру, вплоть до их прекращения. Об этом она рассказала в своём блоге.
Всё началось с агентской платформы FIFA — общедоступного портала, где любой желающий может зарегистрироваться, чтобы стать лицензированным футбольным агентом. Для этого достаточно отправить удостоверение личности и подтвердить адрес электронной почты. Именно так и поступила исследовательница, воспользовавшись своими документами.
Дальше ждала неожиданность. При регистрации на сайте FIFA добавляет учетную запись пользователя в свой клиент Microsoft Entra (ранее Azure AD). Это тот самый клиент, на котором работают все внутренние платформы федерации. То есть обычная учетная запись агента открывала гораздо больше возможностей, чем предполагалось.
Воспользовавшись этой учетной записью и уязвимостью в интерфейсе прикладного программирования (API) FIFA, который не проверял реальные права доступа пользователя, исследовательница смогла проникнуть во внутренние системы. Среди них оказалась и панель, позволяющая вещательным компаниям управлять изображением на телевизорах зрителей по всему миру, а также тем, что видят комментаторы во время трансляции матча. В этой системе она могла делать что угодно — даже останавливать трансляции.
Подписывайтесь на Mediasat в Telegram: здесь самые интересные новости из мира технологий
По словам исследовательницы, речь шла не о тестовой среде и не об учебных данных, а о панели управления прямыми трансляциями Чемпионата мира 2026 года. У неё был доступ к каждому матчу, каждому ракурсу камеры, каждому адресу для RTMP-записи и каждому ключу трансляции.
Об обнаруженном недостатке BobDaHacker сообщила FIFA 16 апреля, и организация устранила проблему уже через несколько часов. Впрочем, никакой реакции на само сообщение так и не последовало. По словам исследовательницы, федерация не подтвердила получение отчета, не поблагодарила и не подняла вопрос о вознаграждении.
