Hacker gana el control total de las transmisiones del mundial 2026
Una vulnerabilidad en la plataforma de la FIFA le permitió a un hacker, identificado como ‘bobdahacker’, tomar el control absoluto de las retransmisiones del próximo Mundial de Fútbol 2026. Un ataque que expone graves fallos de seguridad y podría alterar el espectáculo deportivo de una forma grotesca.
El acceso, sin precedentes.
Según detalla ‘bobdahacker’ en su blog, la FIFA utiliza una base de datos pública para registrar a agentes futbolísticos, solicitando únicamente datos personales, DNI y correo electrónico. Con esta cuenta, el hacker accedió a la web de Agentes de Fútbol de la FIFA, intentando posteriormente infiltrarse en la plataforma de datos de la organización, donde se almacenan información pública de equipos y jugadores. Aunque inicialmente fue denegado el acceso, la falta de verificación de identidad permitió el siguiente paso.
Desde esa plataforma, ‘bobdahacker’ pudo visualizar las transmisiones en directo de todos los partidos, acceder a cada cámara y a las claves de streaming. Incluso, se atrevió a sustituir la imagen en directo por el famoso ‘rickroll’, un recordatorio irónico de la fragilidad de los sistemas de seguridad.
Pero la cosa no acaba ahí. El hacker también tuvo control sobre las pantallas de los comentaristas, pudiendo modificar notas, adelantar o retrasar el pitido inicial, e incluso alterar las alineaciones y estadísticas que se mostraban en directo. Un nivel de intervención que, de ser utilizado con fines maliciosos, podría desestabilizar completamente el evento.
La puerta trasera: un fallo de seguridad flagrante
La clave del éxito del ataque reside en la debilidad del sistema del cliente. La aplicación, en lugar de verificar el JWT (un sistema de autenticación), comprobaba si contenía el marcador ‘NO_ROLES’, mostrando una página de acceso denegado. El backend, por su parte, no realizaba ninguna comprobación, simplemente ejecutando las peticiones que se le enviaban. Un fallo de seguridad monumental, que permitió a ‘bobdahacker’ sortear las defensas del sistema y obtener el control total del panel de gestión del streaming.
‘Me quedé con la boca abierta’, afirma ‘bobdahacker’. La posibilidad de detener la retransmisión en directo, de reemplazarla por cualquier video o mensaje, o de manipular las imágenes de los jugadores, es una demostración alarmante de la necesidad de fortalecer la ciberseguridad en los grandes eventos deportivos. La FIFA, en este caso, ha demostrado una capacidad de respuesta lamentable, ignorando las alertas y no agradeciendo el descubrimiento.
AMD, por su parte, se negó a pagar los 10.000 dólares de recompensa ofrecidos por la comunidad de seguridad por identificar el fallo. Una decisión que, lejos de disuadir, ha puesto de manifiesto la falta de incentivos para la detección de vulnerabilidades. El resultado podría ser mucho más grave, como lo demuestra el potencial impacto de un ataque real.
La historia, afortunadamente, terminó con la corrección de la vulnerabilidad por parte de la plataforma. Pero la falta de una respuesta rápida y efectiva por parte de la FIFA, y la ausencia de una recompensa por el descubrimiento, dejan entrever una cultura de seguridad deficiente y una falta de valoración del trabajo de los expertos en ciberseguridad.