La cybersicurezza non riguarda più soltanto banche, grandi aziende o istituzioni governative. Ogni attività che dipende da reti, software e dati digitali può trasformarsi in un bersaglio, compresi gli eventi sportivi più seguiti del pianeta. I Mondiali di calcio del 2026 rappresentano un esempio emblematico: milioni di tifosi, broadcaster internazionali, piattaforme di streaming, sistemi di biglietteria, servizi cloud e infrastrutture distribuite tra tre Paesi formano un ecosistema digitale di enorme complessità. È sufficiente una vulnerabilità trascurata per mettere a rischio la continuità dei servizi, la sicurezza delle informazioni e la reputazione dell’organizzazione.
Che cos’è la cybersicurezza
Ma, prima di analizzare il caso FIFA, è utile capire che cos’è la cybersicurezza. Con questo termine si indica l’insieme di tecnologie, procedure, competenze e strategie utilizzate per proteggere reti, sistemi informatici, applicazioni, dispositivi e dati da accessi non autorizzati, interruzioni dei servizi e minacce informatiche. Una protezione efficace richiede il controllo degli accessi, l’aggiornamento costante dei software, la sicurezza degli ambienti cloud, il monitoraggio delle infrastrutture e la formazione del personale, spesso considerato il primo anello della catena difensiva. L’obiettivo principale è certamente prevenire e bloccare un attacco, ma è altrettanto importante individuarlo rapidamente, limitarne gli effetti e ripristinare i servizi essenziali nel minor tempo possibile.
Per questa ragione la cybersicurezza coinvolge ormai dirigenti, dipendenti, consulenti, fornitori e chiunque utilizzi strumenti digitali all’interno di un’organizzazione.
Perché le minacce informatiche sono in aumento
La trasformazione digitale ha migliorato l’efficienza di imprese e istituzioni, ma ha ampliato anche la cosiddetta superficie di attacco, cioè l’insieme dei punti attraverso cui un criminale informatico può tentare un’intrusione. L’adozione di servizi cloud, smartphone, dispositivi connessi, applicazioni web, smart working e strumenti basati sull’intelligenza artificiale ha aumentato il numero dei sistemi da proteggere e, di conseguenza, delle possibili vulnerabilità.
In questo contesto si inseriscono alcune delle minacce informatiche più diffuse. Come ad esempio il phishing, che continua a essere uno dei metodi più efficaci per sottrarre credenziali e dati personali, mentre il ransomware cifra i dati di un’organizzazione per chiedere un riscatto. A queste si aggiungono gli attacchi DDoS, che rendono indisponibili siti e servizi online. Ed infine i malware sono progettati per sottrarre informazioni o assumere il controllo dei dispositivi e gli errori commessi dagli stessi utenti, che rappresentano ancora oggi una delle principali cause degli incidenti informatici.
La vulnerabilità scoperta nei sistemi FIFA
Durante i Mondiali FIFA 2026, la ricercatrice indipendente BobDaHacker ha individuato una vulnerabilità che avrebbe potuto consentire l’accesso ad alcuni sistemi utilizzati per la gestione della competizione e della distribuzione televisiva delle partite.
La scoperta è avvenuta dopo la registrazione sulla piattaforma pubblica della FIFA dedicata agli agenti di calcio. Una volta verificata l’identità, l’account veniva automaticamente inserito nel tenant Microsoft Entra della federazione, utilizzato per autenticare diversi servizi interni.
Tentando di accedere alla Football Data Platform, il sistema mostrava un messaggio di accesso negato perché all’account non era assegnato alcun ruolo operativo. Le API del backend, però, non verificavano correttamente le autorizzazioni e restituivano comunque dati e funzionalità. In pratica il frontend bloccava l’accesso, mentre il server continuava a fornire le informazioni richieste.
L’accesso ai sistemi del Mondiale
Secondo BobDaHacker, quella semplice registrazione ha consentito l’accesso alla Football Data Platform, al Commentator Information System utilizzato dai telecronisti e al pannello della piattaforma di streaming sviluppata con MediaKind. La ricercatrice ha visualizzato l’elenco delle partite, le angolazioni delle telecamere, gli indirizzi RTMP e le relative chiavi di streaming. Per verificare che non si trattasse di un ambiente di test ha aperto uno dei feed con VLC, accertando che trasmetteva una partita in corso, interrompendo subito la riproduzione.
Il pannello consentiva anche di avviare, interrompere e programmare gli streaming, oltre a modificare statistiche e informazioni destinate ai commentatori. In pratica un malintenzionato avrebbe potuto sostituire il segnale ufficiale con un altro contenuto video.
I tentativi di avvisare la FIFA
La parte più sorprendente della vicenda riguarda la segnalazione della vulnerabilità. BobDaHacker ha inviato il rapporto tecnico a diversi indirizzi della FIFA, compresi quelli degli uffici privacy, legale e media, ma alcune e-mail sono state respinte e le altre non hanno ricevuto risposta. Ha quindi tentato di contattare telefonicamente la sede della FIFA a Zurigo, il media center e perfino un responsabile tecnologico tramite WhatsApp, senza riuscire a trovare un interlocutore.
La segnalazione è stata presa in carico soltanto dopo il contatto con MediaKind, partner tecnologico della FIFA per la gestione dello streaming. Nella stessa notte BobDaHacker ha informato anche la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti e alcuni referenti dell’FBI.
Fortunatamente la mattina seguente la vulnerabilità risultava già corretta e gli account privi delle necessarie autorizzazioni non potevano più accedere ai sistemi. La FIFA, invece, non ha mai risposto direttamente alla segnalazione né confermato ufficialmente la risoluzione del problema.
Una lezione per tutto il settore
Il caso FIFA 2026 dimostra che la cybersicurezza non consiste soltanto nel correggere rapidamente una vulnerabilità, ma anche nel predisporre procedure efficaci per la sua segnalazione.
Per questo molte organizzazioni adottano una Vulnerability Disclosure Policy e mettono a disposizione canali dedicati ai ricercatori di sicurezza. La sicurezza informatica è ormai un elemento imprescindibile nella progettazione di qualsiasi grande evento internazionale, e non solo.
