La Coppa del Mondo FIFA 2026 si è svolta fra l’11 giugno e il 19 luglio negli Stati Uniti, in Messico e Canada, in 16 città ospitanti.

Alla vigilia dell’evento sono stati pubblicati report previsionali sulle minacce cyber/Telco che ne evidenziavano la complessità, evocando scenari analoghi, ma su una scala evidentemente più ampia, di quelli relativi alle Olimpiadi invernali di Milano-Cortina dello scorso inverno.

I punti chiave erano, di nuovo, l’alto livello di attenzione internazionale, l’interconnessione di realtà operanti in molteplici settori critici all’interno di un perimetro ampio e multiforme, la necessità di tutelare persone (specifici singoli individui e masse di spettatori), infrastrutture, dati e brand. Inoltre, le evidenti differenze socio-economiche hanno comportato un rischio-Paese differenziato, sia per quanto riguarda le minacce fisiche che per quelle informatiche, e hanno richiesto un livello di adattività e coordinamento elevatissimo per tutti gli operatori della sicurezza.

Gli analisti prevedevano vaste e varie attività malevole, come campagne di phishing a tema Coppa del Mondo, oppure raccolta di credenziali mirata a enti governativi, Telco, organizzazioni finanziarie, al settore della ricezione e del merchandising e agli operatori dei trasporti e logistici. Hanno messo in conto attività di ricognizione/scansione sulle reti governative e Telco, compromissione di endpoint o instradamento del traffico dati su infrastrutture di relay. Hanno individuato un concreto punto debole nelle numerose supply chain tecnologiche, finanziarie e di business, nonché infrastrutturali.

La presenza di delegazioni dei Paesi NATO, funzionari ucraini, figure di spicco dell’Iran, ONG, attivisti per i diritti civili e organi di informazione e mediatici di ogni orientamento esponeva a operazioni state-sponsored e hacktiviste. Inoltre, l’intero evento si prestava come teatro e tema portante per operazioni di influenza e disinformazione.

Un fattore di rischio pressoché inedito proveniva dall’ecosistema del gioco d’azzardo.

Quelli “americani” sono stati, infatti, i primi campionati di calcio disputati in Paesi nei quali le scommesse costituiscono attività legale e socialmente rilevante. Il mercato USA – a diffusione capillare, orientato al mobile e pienamente regolamentato – si è affiancato alla legislazione dell’Ontario e al sistema degli operatori autorizzati del Messico, in un quadro misto che poteva facilmente esporsi al crimine, soprattutto nel caso di vuoti o incertezze normative.

Fra gli esempi che sono stati proposti, le campagne di brand-abuse, che possono sfruttare il divario tra ciò che è legale per uno scommettitore di un Paese, ma non è ammesso negli altri. Oltre allo svolgimento di attività illegali o paralegali attraverso canali social, un significativo impatto era prevedibile per le frodi basate su domini fraudolenti e applicazioni contraffatte.

Alcuni numeri

Da gennaio a maggio 2026, la registrazione di domini a tema FIFA è stata massiccia, nell’ordine delle decine di migliaia. Rilevazioni dei primi di giugno riferivano di oltre 1.700 account e canali social indebitamente connessi alla FIFA e potenzialmente sfruttabili per attività illecite. Inoltre, sono stati censiti circa 4.600 URL collegati a famiglie malware come Nocturnal Stealer (Vidar), Lumma Stealer e Redline Stealer.

Nello stesso periodo sono risultate esposte centinaia di credenziali di dipendenti FIFA e centinaia di migliaia di credenziali di utenti e tifosi che visitavano i siti fraudolenti correlati alla FIFA. Le app di scommesse sportive false sarebbero aumentate di 60 volte a ridosso della manifestazione.

Lo streaming esposto a frodi e violazioni

Poco prima della fase a eliminazione diretta, il Governo USA ha annunciato il sequestro di centinaia di domini internet che trasmettevano illegalmente le partite in streaming. L’operazione è stata coordinata dall’Homeland Security Investigations (HSI), organismo afferente al Dipartimento per la Sicurezza Interna, e dall’International Computer Hacking and Intellectual Property (ICHIP), una rete di procuratori statunitensi. I sequestri hanno avuto luogo anche in Perù e Bulgaria, dove sono stati presi di mira due noti centri di attività di pirateria online, oltre che in Croazia, Romania, Polonia e Colombia.

Un potenziale rischio per questo comparto è stato evidenziato da BobDaHacker mentre le competizioni erano in corso.

L’ethical hacker ha segnalato una vulnerabilità nell’API di back-end della FIFA che le avrebbe consentito – dopo essersi registrata come agente di calcio autorizzata sul portale agents.fifa[.]org – di accedere a diverse piattaforme interne.

Dopo aver aggirato le protezioni lato client, la ricercatrice è riuscita ad accedere al pannello di gestione dello streaming in diretta e, da lì, oltre a guardare lo streaming televisivo di ogni partita, avrebbe potuto manipolare tutte le telecamere e la trasmissione delle loro riprese.

Nel post pubblicato sul suo blog, BobDaHacker rivela che su quella piattaforma erano accessibili anche i dati relativi a partite, squadre e strumenti, la dashboard di analisi, il sistema informativo per i commentatori in real time, il sistema FIFA AI Pro e l’ambiente di sviluppo. Le sue segnalazioni sono state recepite dall’FBI e dall’agenzia di sicurezza cyber CISA che hanno provveduto a risolvere il problema.

TS-Intelligence

Le informazioni riportate sono l’esito del lavoro di raccolta e analisi svolto dagli specialisti del team Theat Intelligence & Response di Telsy con l’ausilio della piattaforma TS-Intelligence, una soluzione proprietaria, flessibile e personalizzabile, che fornisce alle organizzazioni un panorama di rischio dettagliato.

Si presenta come una piattaforma fruibile via web e full-API che può essere azionata all’interno dei sistemi e delle infrastrutture difensive dell’organizzazione, con l’obiettivo di rafforzare la protezione nei confronti delle minacce cibernetiche complesse.

La costante attività di ricerca e analisi sui threat actors e sulle minacce emergenti in rete, sia in ambito APT che cyber crime, produce un continuo flusso informativo di natura esclusiva che viene messo a disposizione delle organizzazioni in real-time ed elaborato in report tecnici, strategici ed executive.

Scopri di più sui nostri servizi di Cyber Threat Intelligence.