Registro como agente de jogadores expôs sistemas críticos da Copa do Mundo
Aprofundamento CEVIU
Aprofundamento
A falha não foi um erro de configuração isolado, foi uma falha estrutural de autorização: FIFA usou autenticação via Microsoft Entra (correta), mas deixou toda a lógica de acesso nas mãos do frontend Angular. O token JWT era validado, mas os backends da fdp.fifa.org e cis.fifa.org sequer verificavam claims de papel (roles). Qualquer conta no tenant, inclusive de agente registrado via formulário público, recebia acesso completo a APIs críticas de transmissão ao vivo. Isso expôs não só URLs RTMP com stream keys em texto claro, mas também endpoints de escrita para edição de placar, horários oficiais, escalações táticas e notas editoriais que alimentam comentários em tempo real na TV.
O pior: o sistema de streaming é operado pela MediaKind, parceira oficial da FIFA para a Copa 2026, e integra diretamente com HBS (Host Broadcast Services), responsável pela produção global. Ou seja, a falha atingia a cadeia inteira de distribuição, desde a câmera no estádio até o sinal recebido por emissoras como Globo, BBC e Fox Sports. Não era 'acesso teórico': o pesquisador reproduziu um feed ao vivo no VLC usando apenas URLs obtidas via interface web sem privilégios.
Por que isso importa
Empresas que adotam Azure AD ou Microsoft Entra frequentemente assumem que 'autenticado = autorizado', especialmente quando usam frameworks como MSAL + React/Angular. Essa falsa segurança é comum em projetos com pressão de entrega: a validação de roles fica só no frontend para acelerar o desenvolvimento. Mas isso transforma qualquer conta válida, mesmo de fornecedor, parceiro ou cadastro público, em porta de entrada para dados sensíveis e controles operacionais. No caso da FIFA, isso significava que um atacante poderia ter substituído feeds ao vivo, alterado placares oficiais ou injetado informações falsas nos sistemas usados por comentaristas em tempo real, tudo sem precisar de senha, token de sessão ou exploração técnica avançada.
Perguntas frequentes
Como uma conta de agente de jogadores pôde acessar sistemas de transmissão ao vivo?
Porque todos os serviços da FIFA (FAP, FDP, CIS) compartilham o mesmo tenant do Microsoft Entra. Ao se registrar como agente, o usuário entra automaticamente nesse diretório. Os backends não validavam papéis, só o frontend bloqueava visualmente com base no token JWT. A autorização real ficou inexistente.
O que impedia um atacante de realmente interromper ou substituir uma transmissão?
Nada técnico. As URLs RTMP tinham stream keys expostas em texto claro na interface. Basta um cliente RTMP (como OBS Studio) enviando vídeo para esses endpoints. O sistema aceitaria imediatamente, já que não havia validação de origem, IP ou papel no backend. O único impedimento foi a ética do pesquisador.
Por que a correção em 24 horas não resolve o risco sistêmico?
A correção aplicada foi pontual: retornar 403 no backend ao detectar contas sem papéis. Mas o problema de arquitetura persiste se outros serviços seguirem o mesmo padrão, e não há garantia de que isso tenha sido auditado em toda a stack. Falta uma política central de autorização zero-trust, com validação obrigatória de claims em cada chamada API.
Essa falha afeta só grandes organizações como a FIFA?
Não. É um erro comum em aplicações corporativas que usam Azure AD com SPA frontends. Startups, bancos e órgãos públicos já sofreram incidentes similares, como vazamento de dados de clientes ou acesso não autorizado a painéis operacionais, por confiar exclusivamente em verificações client-side.
Fontes
- bobdahacker.comfonte original
- Categoria
- CEVIU Segurança da Informação
- Publicado
- 17 de junho de 2026
- Editoria
- CEVIU Segurança da Informação