Une hackeuse éthique japonaise a pris le contrôle des flux vidéo de la Coupe du monde avec un compte d'agent de football. En quelques clics, elle pouvait interrompre un match en direct et le remplacer par l'image de son choix sur toutes les télévisions. La FIFA a refusé d'entendre. Un chercheur en sécurité l'a découvert, prouvé, et tenté de signaler.
Un match de Coupe du monde, Côte d'Ivoire contre l'Équateur. L'équipe ivoirienne a le ballon. Soudain, chaque diffusion en direct, chaque télévision, chaque chaîne qui diffuse la Coupe du monde depuis la FIFA s'interrompt.
Par quoi ? Cela varie. Un Rick Roll. Un message de pirates soutenus par un État.
Pour certains spectateurs, cela dure quelques secondes.
Chaque diffusion panique. Chacun vérifie son côté. Un employé a-t-il commis une erreur de programmation ?
Ont-ils été piratés ? Ils actualisent l'accès au flux de la FIFA. Rien. Le match ne revient pas. La même vidéo Rick Roll s'affiche.
Chaque match dispose de plusieurs flux de caméras.
Un problème avec l'un d'eux ? Les autres fonctionnent encore. Ils les essaient un par un.
Tous sont détournés. La source est claire : la FIFA.
Un simple compte d’agent de football a suffi à une hackeuse éthique basée à Tokyo pour prendre le contrôle total des flux vidéo de la Coupe du monde. Bob the Hacker a découvert qu’elle pouvait, en quelques clics, interrompre ou remplacer n’importe quel match en direct sur toutes les télévisions de la planète. Ce que la FIFA n’a jamais voulu entendre.
Voici ce qu’elle a découvert, comment elle a tenté de prévenir la FIFA, et pourquoi personne ne lui a répondu.
Questions fréquentes
Qu’est-ce qu’un pirate éthique ou white hat ?
Un pirate éthique utilise ses compétences en sécurité informatique pour identifier des vulnérabilités, puis les signale aux organisations concernées afin qu’elles puissent les corriger avant qu’un acteur malveillant ne les exploite. Il agit dans un cadre légal et souvent bénévole.
Qu’est-ce qu’un programme de bug bounty ?
Un programme de bug bounty est une initiative par laquelle une organisation récompense financièrement les chercheurs en sécurité qui découvrent et signalent des failles dans ses systèmes. Cela crée un canal officiel et incite les hackers éthiques à collaborer plutôt qu’à vendre leurs découvertes sur le marché noir.
Pourquoi la FIFA n’a-t-elle pas répondu au signalement ?
La FIFA ne disposait pas de contact officiel dédié à la sécurité informatique. Les e-mails envoyés par Bob le hacker n’ont reçu aucune réponse, et les lignes téléphoniques ne menaient à personne capable de traiter ce type d’alerte. Cela illustre l’absence de procédure interne pour ce genre de situation.
Quel était le risque concret pour les téléspectateurs ?
Un acteur malveillant aurait pu interrompre ou remplacer les flux vidéo des matchs en direct sur l’ensemble des réseaux de diffusion. Il aurait aussi pu accéder à des données internes, comme les adresses e-mail des employés et partenaires de la FIFA, facilitant d’autres attaques par ingénierie sociale.
Comment la faille a-t-elle finalement été corrigée ?
Après plusieurs tentatives infructueuses auprès de la FIFA, Bob le hacker a contacté la CISA et la DGSI. Les autorités ont réagi rapidement et la vulnérabilité a été corrigée dès le lendemain, sans que la FIFA ne communique officiellement sur l’incident.
Cette affaire pose une question simple : pourquoi les organisations qui gèrent des événements mondiaux n’investissent-elles pas davantage dans la cybersécurité préventive ? La réponse tient souvent à une logique comptable à courte vue. On ne paie pas pour ce qui ne s’est pas encore produit. Mais quand cela se produit, le coût est démultiplié.
Et les hackers éthiques, eux, restent dans l’ombre, sans reconnaissance.
Une intrusion venue d’un simple compte d’agent
Ils ne savent pas pourquoi cela s’est produit. Quelque chose a mal tourné avec la plateforme de streaming. Quelqu’un a remplacé le flux de caméra du match par une vidéo.
Ils coupent le flux d’origine et créent une nouvelle URL. Le match reprend pour tous les réseaux de télévision. Cela fonctionne pendant quelques minutes. Puis cela se reproduit.
Le match bascule sur un autre Rick Roll, piégeant des millions de personnes pour la deuxième fois.
La FIFA se rend compte que quelque chose de grave a mal tourné. Ils coupent définitivement le flux en direct, présentent leurs excuses et rendent compte du match par écrit. Pendant les heures qui suivent, les responsables s’activent pour trouver des réponses.
Ils n’ont probablement pas d’équipe de sécurité dédiée. Ils doivent embaucher des ingénieurs en cybersécurité. L’horloge tourne.
Ils doivent réparer cela avant le prochain match, sinon ils risquent de perdre des millions de revenus.
Un accès total à la diffusion mondiale
Ce qu’aucun responsable ne réalise, c’est qu’un pirate a pu accéder à l’ensemble de leur plateforme de streaming et injecter ce qu’il voulait dans le pipeline de diffusion de chaque réseau de télévision. Si vous avez regardé la Coupe du monde et que vous n’avez rien remarqué, c’est parce que vous avez eu de la chance.
Le pirate n’était pas soutenu par un État, ne faisait pas partie d’un réseau d’extorsion, n’était pas malveillant, pas même un troll. C’était un pirate éthique, un white hat. Quelqu’un qui possède les compétences d’un groupe avancé, mais qui pirate avec des intentions différentes.
Il le fait avant que les pirates malveillants, les black hats, ne le fassent.
Lorsque le pirate éthique trouve une vulnérabilité, il la signale aux développeurs pour qu’ils puissent la corriger.
C’est ce qu’a fait un pirate connu sous le pseudonyme de Bob the Hacker. Vivant à Tokyo, Bob the Hacker aurait pu rickroller l’intégralité de la Coupe du monde en direct, simplement en s’inscrivant pour devenir agent de football agréé. Il n’a fallu que quelques tentatives. Une fois acceptée, Bob the Hacker a créé un compte sur agents.fifa.org, la plateforme officielle des agents de la FIFA.
La faille « no roles » qui ouvrait toutes les portes
Une fois inscrit sur la plateforme des agents, la FIFA ajoute votre compte à son tenant Microsoft Entra, qui gère toutes les plateformes internes de la FIFA. Le panneau de streaming, la gestion des matchs, les analyses avancées, le système d’information des commentateurs, FIFA AI Pro, et même l’administration. Tout sous un même toit.
Cela n’est pas censé être accessible de cette manière. Chacun de ces panneaux est censé être géré par des personnes autorisées avec un rôle. Au début, il semblait que c’était sécurisé contre les accès non autorisés. Lorsque Bob the Hacker essayait d’accéder à des panneaux en dehors de son rôle, l’application cliente lui refusait l’accès.
Mais il suffisait de contourner cette protection côté client pour que Bob the Hacker puisse accéder à tout ce qu’elle demandait, sans aucune vérification d’authentification supplémentaire. Le détail technique de cette faille « no roles » est documenté dans l’analyse de ThinScale côté serveur. La faille venait d’un défaut fondamental de contrôle d’accès dans l’environnement Microsoft Entra de la FIFA.
La première chose sur laquelle Bob the Hacker est tombée, c’est le panneau de gestion du streaming. Chaque match, chaque angle de caméra avec les URL associées et les clés de flux. En développant un match, vous obteniez cinq flux de caméras avec les URL exactes et une clé de flux intégrée dans ces URL. Une seule clé de flux pour toutes les caméras d’un même match.
Pour vérifier si c’était réel, Bob the Hacker a copié l’un des flux dans le lecteur multimédia VLC. Bingo. C’était là, un angle de caméra tactique d’un match en direct entre la Côte d’Ivoire et l’Équateur.
Ce qu’un acteur malveillant aurait pu faire
À ce stade, Bob the Hacker aurait pu démarrer, reprogrammer ou arrêter n’importe quel angle de caméra de n’importe quel match dans tous les stades de la Coupe du monde. Un clic et cela se produisait. Tous ces flux passaient directement par le pipeline de diffusion de la FIFA.
N’importe qui, y compris Bob the Hacker, aurait pu remplacer les flux de caméras par ce qu’il voulait et le diffuser en direct.
Même si Bob the Hacker n’avait aucune intention de l’utiliser elle-même, elle aurait pu gagner de l’argent sur les marchés noirs où des gens seraient prêts à payer pour ce type de vulnérabilité. Juste pour provoquer une perturbation, des dommages économiques, ou simplement pour faire passer un message. Quelqu’un comme les pirates iraniens, peut-être, ou les trolls russes auraient pu être très désireux de saisir cette opportunité.
Ou simplement n’importe quel adolescent qui s’ennuie.
Il existe un véritable marché pour cela. Et cela ne se limite pas aux recoins illégaux du darknet. Il existe des entreprises légitimes appelées courtiers en zero-day, spécialisées dans ce domaine.
Elles offrent des récompenses à toute personne qui découvre une vulnérabilité critique dans un système, n’importe quel système : une application, une messagerie, un site web, un système d’exploitation, tout ce qui a de la valeur, des clients et des données. La FIFA est une cible de choix, car elle organise un événement sportif d’une telle envergure, mais elle détient aussi une grande quantité de données personnelles.
Des données internes exposées aux regards
Bob le hacker m’a confié qu’un autre pirate avait réussi à accéder à des ressources internes de la FIFA, exposant les adresses e-mail et les noms complets de tous les employés de la FIFA et de leurs partenaires.
Dans le cas du piratage de Bob le hacker, la vulnérabilité était assez simple. Toute personne disposant d’un compte « no roles » pouvait, par erreur, accéder à tout, ce qui est exactement l’inverse de ce que « no roles » était censé faire. Bob le hacker pouvait accéder aux analyses de match en temps réel, comme le contrôle de la possession ou la récupération du ballon.
Elle aurait pu modifier les statistiques et les mises à jour en direct comme si elle éditait un document WordPress. Elle aurait même pu troller les commentateurs en modifiant leurs notes éditoriales. Et même l’environnement de développement était laissé exposé.
Signaler la faille, un parcours du combattant
Au lieu de faire tout cela, ce qui serait devenu un mème épique aux proportions historiques, Bob le hacker a décidé de signaler cette vulnérabilité de manière responsable. Mais cela s’est avéré être un cauchemar en soi. La première tentative a été d’envoyer un e-mail à la FIFA. Mais la FIFA ne dispose d’aucun contact officiel pour la divulgation de vulnérabilités.
Bob le hacker leur a simplement envoyé un e-mail à tous.
La deuxième tentative a consisté à trouver le responsable de la technologie et des données footballistiques de la FIFA. Il s’agit de Sebastian Runge. Par chance, son numéro de téléphone figurait.
Bob le hacker a essayé de le contacter sur WhatsApp, sans réponse. Ensuite, la ligne téléphonique du siège de la FIFA, fermée. Puis la ligne média de la FIFA, également fermée.
Puis le centre de congrès de Dallas, et enfin MediaKind, le partenaire technologique de streaming de la FIFA. Ils ont répondu, ont demandé un e-mail avec tous les détails, puis plus rien. Bob le hacker a ensuite appelé Host Broadcast Services et leur société mère, mais personne ne pouvait l’aider.
La dernière tentative a été de contacter les autorités fédérales. Bob le hacker a appelé l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) et a envoyé un message au DGSI sur Signal. Les deux ont répondu, écouté et réagi. Le lendemain, la vulnérabilité était corrigée.
Des canaux de signalement qui n’existent pas
Une organisation comme la FIFA, avec sa taille, sa portée et ses revenus de plusieurs milliards de dollars, aurait dû disposer d’un programme de bug bounty pour ce genre de situations. Elle aurait dû mettre en place des canaux appropriés permettant aux hackers éthiques de la contacter. Elle aurait dû encourager les efforts bienveillants par une compensation.
Mais le problème est que si vous dépensez de l’argent dans la cybersécurité, rien ne se passe.
La cyberguerre est une tactique en escalade rapide. C’est une véritable course aux armements entre les grandes puissances géopolitiques comme entre les puissances régionales. La Chine, Israël, l’Iran, la Russie, les États-Unis, le Royaume-Uni, tous repoussent les limites des cyberattaques, car il n’existe aucun traité commun de non-prolifération des armes cybernétiques, ce qui signifie que tout est permis. La FIFA a eu une chance incroyable dans cette affaire.
Entra ID mal verrouillé en France
| Situation à risque | Le piège invisible | Le réflexe français à adopter |
|---|---|---|
| Une PME française active l’essai gratuit Microsoft Entra ID pour un projet événementiel | Le tenant démarre avec des permissions par défaut trop larges, et personne ne pense à auditer les rôles avant la mise en production | Exiger une revue des attributions de rôles avant chaque ouverture d’accès, comme on vérifie une liste d’émargement |
| Un prestataire crée un formulaire d’inscription public pour un événement sportif ou culturel | Le formulaire donne un accès « invité » qui, par héritage, ouvre des ressources internes non prévues | Tester soi-même le parcours d’inscription avec un compte vierge, en conditions réelles, pas seulement en maquette |
| Une collectivité ou une fédération mutualise son tenant Azure avec plusieurs partenaires | La séparation des espaces repose sur des étiquettes manuelles, pas sur des frontières techniques | Segmenter par groupes de sécurité distincts et documenter qui valide chaque accès, comme on trace une chaîne de responsabilité |
Retours du terrain
Les programmes de récompense (bug bounty) et la divulgation coordonnée des vulnérabilités existent précisément pour éviter que ces découvertes finissent mal. Les entreprises y participent parce qu’elles préfèrent payer un hacker éthique pour qu’il signale la faille, plutôt que de découvrir l’intrusion après coup. Mais dans le cas de la FIFA, le parcours pour signaler a été un vrai chemin de croix : pas de canal clair, pas de réponse rapide, et une exposition prolongée des données internes. C’est un cas d’école de ce qui arrive quand l’infrastructure de signalement n’est pas à la hauteur de l’infrastructure technique.
Sur les forums spécialisés, on voit aussi une confusion récurrente entre piratage éthique et surveillance personnelle. Un commentaire raconte l’histoire d’une personne qui, après une rupture douloureuse, a payé quelqu’un pour accéder au téléphone de son ex et y découvrir des mensonges. Ce n’est pas du piratage éthique : c’est une intrusion illégale dans la vie privée d’un tiers, même si la douleur est réelle. Le terme « éthique » est souvent détourné pour vendre des services qui n’ont rien d’éthique, et cette affaire de la FIFA est l’occasion de rappeler la frontière.
Les études qui comptent
| FIFA Bug Opens World Cup Broadcasts to Remote Takeover ↗ |
Ce que la gendarmerie m’a appris sur les failles humaines
En 17 ans de gendarmerie, j’ai vu des systèmes réputés inviolables tomber à cause d’un détail que personne n’avait regardé. Pas une attaque spectaculaire, non. Une porte mal fermée, un badge oublié, une procédure qu’on croyait acquise.
Quand j'étais OPJ, la première chose qu'on vérifiait sur une scène d'infraction, c'était l'évidence. Ce que tout le monde avait sous les yeux mais que personne ne voyait plus. Les hackers éthiques font le même métier, avec un clavier au lieu d'un carnet de procédure.
Sur une scène, je regarde les mains avant les visages. C’est là que se cache ce qu’on veut cacher.