安全研究员用一张身份证注册FIFA经纪人，获得世界杯直播流和后台的完整控制权。

2026年FIFA世界杯如火如荼进行期间，一位名叫BobDaHacker的安全研究员发现了一个令人瞠目的安全漏洞。漏洞入口简单到荒谬：在FIFA公开的经纪人平台上用一张身份证完成免费注册。注册成功后，用户即被添加到FIFA的微软Entra企业租户中，而正是这个租户管理着世界杯的几乎全部内部系统。

真正的悲剧在于一个教科书级的架构缺陷：前端使用Angular等现代框架做客户端权限校验，弹出"拒绝访问"的提示，但后端API仅验证用户是否属于该租户，完全不检查角色权限。研究员用一个NO_ROLES零权限账户，直接访问到了世界杯直播管理面板。每个比赛的页面包含了全部五路摄像机信号，主转播画面、战术机位、三路辅助机位，的RTMP推流地址、预览清单和流密钥。

更令人震惊的是，五路摄像机共享同一个流密钥。任何掌握此密钥的人都可以向RTMP端点推送任意视频，替换主转播画面。这意味着全球数十亿观众看到的将不再是比赛，而是攻击者推送的任何内容。研究员还发现后台完全接受NO_ROLES账户的写操作：可以修改比赛记录、编辑评论员笔记、调整开球时间、操作战术数据面板。

点击图片看原图

FIFA没有漏洞披露计划，没有security.txt文件，公开的十个以上联系方式全部无人回应。研究员最终通过美国网络安全局(CISA)和联邦调查局(FBI)才将漏洞报告送达，FIFA在次日完成修复，但自始至终未做任何回应或致谢。研究员写道，在另一个平行宇宙里，数十亿人在世界杯决赛上观看的是Subway Surfers手游画面，而"需要的，只是一张身份证"。