חוקרת: חולשה ב-API של FIFA חשפה מערכות שידור של המונדיאל, והיא תוקנה תוך שעות
לטענת החוקרת BobDaHacker, חשבון שנרשם לפלטפורמת הסוכנים של FIFA אפשר גישה למערכות פנימיות, כולל ניהול שידורי המשחקים. FIFA לא הגיבה. הפרטים הם טענות של החוקרת.
TL;DR בקצרה
- החוקרת BobDaHacker פרסמה ב-16 ביוני 2026 שחשבון רגיל בפלטפורמת הסוכנים של FIFA הגיע למערכות פנימיות.
- לטענתה, בין המערכות היו ניהול שידורי המשחקים ונתוני משחק חיים, והממשק חסם גישה אבל שרתי ה-API החזירו מידע.
- היא מדגישה שלא שידרה, לא שינתה נתונים ולא הפעילה את בקרת השידור.
- FIFA תיקנה תוך שעות לפי TechCrunch, אבל לא אישרה את הדיווח ולא הגיבה לפנייה.
חוקרת האבטחה BobDaHacker טוענת שחולשה ב-API של FIFA אפשרה לה לגשת למערכות הפנימיות של FIFA World Cup, כולל מערכת לניהול שידורי המשחקים. לפי TechCrunch, היא פרסמה את הממצאים ב-16 ביוני 2026. FIFA תיקנה את הבעיה תוך שעות מהדיווח. היא לא אישרה אותו, ולא הגיבה מיד לפנייה של TechCrunch. כל הפרטים להלן הם טענות של החוקרת.
איך נכנסה החוקרת למערכות של FIFA World Cup
החוקרת נרשמה בפלטפורמת הסוכנים של FIFA, agents.fifa.org, כסוכנת שחקנים. ההרשמה דרשה תעודת זהות ואימות מייל. שני הניסיונות הראשונים נכשלו בגלל איכות התמונה, והשלישי הצליח.
לטענתה, ההרשמה הוסיפה את החשבון לדייר Microsoft Entra של FIFA, שמשותף גם לפלטפורמות פנימיות. לחשבון לא הוגדרו תפקידים. הממשק הציג הודעת ״אין גישה״, אבל שרתי ה-API החזירו נתונים בכל זאת.
זו שגיאת הרשאה קלאסית. הממשק של הדפדפן חסם את המשתמש, אבל השרת לא בדק מי שואל. מי שפונה ישירות ל-API עוקף את החסימה.
הקטגוריה הזו נקראת בקרת גישה שבורה, והיא אחת הפרצות הנפוצות באפליקציות Web. קל לפספס אותה בבדיקות, כי מי שבודק דרך הממשק רואה רק את החסימה ולא את הנתונים שמאחוריה.
מה היה חשוף במערכות FIFA World Cup לפי החוקרת
בלוח לניהול שידורים הופיעו משחקי טורניר 2026, ולכל משחק חמישה פידים של מצלמות. לכל פיד היו כתובת קלט, כתובת תצוגה מקדימה וכתובת פלט. לדבריה, הבקרות אפשרו להתחיל, לעצור ולתזמן שידורים. היא פתחה פיד תצוגה מקדימה בנגן VLC במהלך משחק פעיל, וסגרה אותו מיד.
במערכת נתוני הכדורגל, fdp.fifa.org, יש לדבריה נתוני משחק חיים. לשונית הניהול קיבלה פעולות כתיבה, כמו עריכת הערות פרשנים, שינוי תוצאה ושינוי שעת פתיחה. מערכת אחרת לפרשנים הציגה תצוגות טקטיות חיות. ממשק אחר החזיר קישורים ל-23 קבצים פנימיים, ובהם דוחות העברות.
החוקרת מדגישה שלא שידרה וידאו, לא הפעילה את בקרת השידור ולא שינתה נתונים. לפי TechCrunch, היא טענה שתוקף אחד היה יכול לחטוף את כל המצלמות בבת אחת, ושאפשר היה להפוך את הטורניר ל-Rickroll. אלה תרחישים שהיא מתארת, ולא דבר שקרה.
דיווח שלא נענה: מה קרה אחרי הגילוי
לפי הפוסט שלה, היא ניסתה לדווח בערוצים רבים. חמש כתובות מייל של FIFA החזירו הודעת כשל. היא כתבה לאיש קשר ב-WhatsApp, התקשרה למוקדים ופנתה לקו של CISA. שם ביקשו ממנה לשלוח פרטים במייל.
למחרת, לדבריה, הבעיה תוקנה. לפי הפוסט, חשבון ללא תפקידים מקבל מהשרת תשובה 403. FIFA לא אישרה את הדיווח ולא הודתה לה, לפי הפוסט.
המקרה מדגים בעיה רחבה. ארגון גדול, עם מערכות וספקים רבים, לא תמיד מפרסם כתובת לדיווח על חולשות. חוקר שלא מוצא למי לפנות מחפש ערוצים אחרים, ולפעמים מפרסם. לכן security.txt, דף קטן שמציין איש קשר לאבטחה, חוסך זמן לשני הצדדים.
מה זה אומר עבורכם
- בדקו הרשאות בשרת: הסתרת כפתור או הודעת ״אין גישה״ בממשק אינה הגנה. כל קריאת API צריכה לבדוק תפקיד.
- בדקו את ה-API בנפרד: בדקו מה מחזיר כל נתיב כשמשתמש בלי תפקידים פונה אליו ישירות.
- הפרידו הרשמה חיצונית מפנים הארגון: אם חשבון שנרשם מבחוץ נכנס לאותו דייר כמו המערכות הפנימיות, ודאו שאין לו גישה אליהן.
- פרסמו מדיניות גילוי: החוקרת ממליצה לפרסם security.txt, להגדיר מדיניות גילוי אחראי ולהפעיל תוכנית תגמול על חולשות.
- הקפידו על כתובת לדיווח: אם לא ברור למי לפנות, חוקרים נתקעים והממצאים מתפרסמים בלי תיאום.
מקורות והרחבה
- Bug in FIFA World Cup internal system gave anyone ability to modify TV streamTechCrunch
- I Could've Rickrolled the Entire FIFA World Cup. All I Needed Was My ID.BobDaHacker
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
