Em 16 de junho de 2026 a pesquisadora de segurança BobDaHacker revelou que qualquer pessoa podia se cadastrar como agente de jogadores na plataforma oficial da FIFA e obter controle completo sobre as transmissões ao vivo da Copa do Mundo de 2026. O bug permitia pausar, iniciar ou encerrar feeds de câmera, acessar chaves de transmissão RTMP e até sequestrar todas as câmeras simultaneamente para exibir conteúdo arbitrário. Se a verificação de autorização ocorresse apenas no lado do cliente e o servidor não repetisse essa checagem, então qualquer conta criada via cadastro público ganharia poderes de broadcaster sem restrições adicionais. Caso contrário, se houvesse validação no backend, o acesso seria negado desde o primeiro pedido à API. A FIFA corrigiu a vulnerabilidade horas depois do relato, mas não emitiu comunicado oficial nem respondeu aos pedidos de comentário.

Como o cadastro público abriu as portas do sistema interno

A pesquisadora completou o registro no portal agents.fifa.org usando apenas documento de identidade e confirmação por e-mail, o que gerou automaticamente uma conta no tenant Microsoft Entra da entidade. Depois de logada, ela conseguiu acessar o Football Data Platform, painel que listava todas as partidas do Mundial com URLs de ingestão RTMP e chaves de stream expostas. Se o sistema tivesse aplicado checagem de autorização no servidor logo no primeiro endpoint, então o acesso ao fdp.fifa.org seria bloqueado antes de exibir qualquer dado sensível. Senão, a verificação apenas visual no navegador permitia que o usuário prosseguisse e explorasse os controles de transmissão. O mesmo login também concedeu entrada ao Sistema de Informação para Comentaristas, onde era possível editar notas e dados exibidos durante os jogos.

O que exatamente um atacante conseguiria fazer com o painel

Uma vez dentro do painel, o usuário tinha botões para iniciar, pausar ou encerrar os cinco ângulos de câmera disponíveis por partida e podia visualizar ou copiar as chaves de transmissão que alimentavam TVs e telas dos comentaristas. Se um invasor decidisse usar esse poder de forma maliciosa, então ele poderia substituir toda a transmissão por um vídeo de pegadinha ou até mesmo um rickroll global durante a Copa. Senão, se o objetivo fosse apenas espionagem, ele teria acesso em tempo real a estatísticas de jogo e informações internas que normalmente ficam restritas às emissoras credenciadas. A descoberta aconteceu durante uma partida ao vivo, o que aumentou o risco porque qualquer alteração seria transmitida imediatamente para milhões de espectadores.

Por que a checagem só no navegador não bastava

Todo o conjunto de plataformas internas da FIFA utilizava o mesmo tenant Microsoft Entra criado no momento do cadastro de agente, porém a autorização era validada exclusivamente no código JavaScript executado no navegador do usuário. Se o servidor tivesse repetido a verificação de permissões em cada chamada à API, então o backend rejeitaria pedidos vindos de contas sem credenciais de broadcaster mesmo que o frontend permitisse a interface. Senão, bastava burlar ou ignorar a checagem client-side para obter acesso irrestrito. A pesquisadora relatou o problema para a empresa MediaKind, para a CISA e para o FBI, e a correção foi aplicada na manhã seguinte sem que a FIFA reconhecesse publicamente a existência da falha.

Caixa de Ferramentas: o que aprendemos e o que fazer agora

Empresas que gerenciam eventos de grande visibilidade devem implementar validação de autorização tanto no cliente quanto no servidor, porque confiar apenas na camada visual deixa o sistema exposto a qualquer usuário que complete um cadastro público. Pesquisadores de segurança que encontram brechas semelhantes devem documentar cada passo, registrar data e hora do acesso e notificar órgãos competentes como CISA e FBI para garantir que a correção ocorra de forma rastreável. Usuários comuns podem acompanhar comunicados oficiais da FIFA e de outras entidades esportivas para confirmar que atualizações de segurança foram aplicadas em sistemas de transmissão. Se você administra plataformas que usam APIs semelhantes, revise se todas as chamadas passam por checagem server-side antes de exibir controles sensíveis. A transparência após incidentes como este aumenta a confiança do público e reduz o tempo entre descoberta e correção de vulnerabilidades críticas.