FIFAワールドカップの脆弱性:ID登録だけでライブストリーム操作やデータ改ざんが可能に
I Could've Rickrolled the FIFA World Cup. All I Needed Was My ID
あるセキュリティ研究者が、FIFAの選手エージェント登録プラットフォームで発見した重大な脆弱性について報告した。この脆弱性を悪用すると、登録者はFIFAの内部システムにアクセスでき、ワールドカップのライブストリームを操作したり、試合データを改ざんしたりすることが可能になる。研究者は、ID写真の登録から始まり、Microsoft Entra ID(旧Azure AD)を介してFIFAの内部プラットフォームにアクセスできるようになった。特に、FIFAのFootball Data Platform (FDP)では、クライアントサイドでのみアクセス制限が行われており、バックエンドAPIは認証されたユーザーであれば誰でもデータを提供してしまう状態だった。これにより、研究者はワールドカップのライブストリーム管理パネルにアクセスし、全ての試合のストリームキーやRTMP ingest URL、プレビューURLなどを確認できた。さらに、ライブ映像を停止したり、別の映像に差し替えたりする操作も可能だった。また、試合の統計データや解説者向けの情報システムも改ざん可能であることが判明した。この脆弱性は、FIFAのバグバウンティプログラムや公開されたセキュリティ連絡先がない中で、研究者がFIFA、MediaKind、CISA、FBIなどに連絡を取るという異例の経緯を経て、翌日には修正された。しかし、FIFAからの公式な応答はなかった。この問題の根本原因は、クライアントサイド認証のみに依存し、サーバーサイドでの権限チェックが欠如していたことにあると指摘されている。
- FIFAの選手エージェント登録プラットフォームに重大な脆弱性が発見された。ID登録により、Microsoft Entra IDを介してFIFA内部システムにアクセス可能となり、ワールドカップのライブストリーム操作や試合データ改ざんが可能だった。
- 脆弱性の根本原因は、クライアントサイド認証のみに依存し、サーバーサイドでの権限チェックが欠如していたことにある。
本件は、大規模イベント向けITシステムにおいて「クライアントサイド認証のみに依存」する設計上の根本的欠陥がいかに深刻な影響を及ぼすかを示している。特にFIFAワールドカップという全球規模のイベントで、ライブ配信の停止・差し替えや試合統計データの改ざんが可能だった点は、セキュリティ対策への投資判断において重要な事例である。また、FIFAにバグバウンティプログラムやセキュリティ窓口が存在せず、研究者がCISAやFBIに通報した異例の経緯は、大規模組織のセキュリティガバナンスの脆弱性を浮き彫りにしており、セキュリティ関連サービスや製品(ID管理、APIセキュリティ、バグバウンティプラットフォーム)への需要拡大を示唆する。