Dok traje dosad najveće Svjetsko prvenstvo u nogometu u SAD-u, Kanadi i Meksiku, svjetska krovna nogometna organizacija FIFA suočava se s mogućim sigurnosnim problemima koji su otkriveni već u prvom tjednu natjecanja. Sigurnosna istraživačica i etička hakerica, koja se predstavlja nadimkom BobDaHacker, otkrila je kritičnu ranjivost u digitalnoj infrastrukturi te organizacije.

Ulazak bez provjere

Otkriveno je, naime, da se putem javno dostupnog portala za registraciju nogometnih agenata, može dobiti pristup FIFA-inom sustavu Microsoft Entra, koji objedinjuje niz njihovih internih platformi. Iako su sučelja aplikacija prikazivala poruku o zabrani pristupa, pokazalo se da pozadinski sustavi nisu provjeravali korisničke ovlasti, što je pak omogućilo neometan pristup vrlo osjetljivim podacima.

Ovim propustom bio je omogućen uvid u upravljačku ploču za streaming svih utakmica Svjetskog prvenstva, uključujući pristup vezama za prijenos uživo te mogućnost upravljanja kamerama. Uz to, bio je otvoren pristup platformi koja prikuplja podatke o nogometnim utakmicama u stvarnom vremenu, sustavu za komentatore te povjerljivim internim dokumentima. Sustav je čak dopuštao, bilo kome prijavljenom na taj način, izmjenu podataka o utakmicama, što bi se izravno reflektiralo na informacijske sustave koje koriste i televizijski komentatori tijekom prijenosa.

Propust brzo zakrpan

Cijeli proces "hakiranja", odnosno ostvarivanja neovlaštenog pristupa do kritičnih sustava FIFA-e dokumentiran je na blogu BobDaHackera. Uz opis procesa i dokaze za svoje tvrdnje, bijela hakerica navodi i da je prijavljivanje ove ranjivosti bilo iznimno otežano zbog nedostatka jasnih komunikacijskih kanala FIFA-e za prijavu sigurnosnih propusta. Nakon bezuspješnog pokušaja kontaktiranja FIFA-e putem e-pošte i telefona, kontaktirani su tvrtka MediaKind, zadužena za tehnologiju TV prijenosa, kao i američka Agencija za kibernetičku sigurnost (CISA), a u konačnici i FBI.

Nakon svih tih prijava, FIFA je već tijekom idućeg dana ispravila ranjivost onemogućivši neovlašteni pristup pozadinskim sustavima. Unatoč brzoj reakciji, FIFA se nije očitovala o samom incidentu niti je službeno odgovorila na prijavu problema.

Zaključak je da očito niti najveće organizacije nisu imune na bizarne sigurnosne propuste te da ovaj slučaj ukazuje na potrebu za uspostavom službenih sigurnosnih politika, programa za prijavu ranjivosti te unaprjeđenjem autorizacijskih mehanizama unutar organizacije – pogotovo kad se organizira tako masovni događaj kao što je Svjetsko prvenstvo.