FIFA 2026 MM-kisojen huijaus

Tietoturvatutkijat ja FBI varoittavat, että laajamittainen FIFA-aiheisten petosten aalto on jo kohdistumassa vuoden 2026 jalkapallon MM-kisojen faneihin, vaikka turnaus alkaa vasta 11. kesäkuuta.

Tapahtuma tarjoaa houkuttelevan tilaisuuden kyberrikollisille. Yli kuuden miljoonan katsojan odotetaan tulevan otteluihin 16 kaupungissa Yhdysvalloissa, Kanadassa ja Meksikossa. FIFA raportoi vastaanottaneensa yli 150 miljoonaa lippupyyntöä ensimmäisten 15 myyntipäivän aikana, mikä tekee kysynnästä noin 30 kertaa suuremman kuin saatavilla olevan tarjonnan. Lippujen niukkuus, hermostuneet fanit ja nopeasti liikkuvat maksutapahtumat ovat luoneet ihanteelliset olosuhteet laajamittaiselle petokselle.

Viimeaikaiset tutkimukset ovat paljastaneet tuhansia FIFA-aiheisia vilpillisiä verkkotunnuksia, luvattomiin suoratoistosovelluksiin piilotettuja haittaohjelmia ja hienostuneita tietojenkalastelukampanjoita, joilla voidaan kaapata laillisia FIFA-tilejä.

GHOST STADIUM -tietojenkalasteluverkon nousu

Tutkijat ovat tunnistaneet yli 4 300 vilpillistä FIFAan liittyvää verkkotunnusta, jotka on rekisteröity elokuusta 2025 lähtien. Tämän toiminnan keskiössä on taloudellisesti motivoitunut kiinaa puhuva ryhmä nimeltä GHOST STADIUM, joka ylläpitää yli 300 verkkosivustoa kattavaa tietojenkalasteluinfrastruktuuria.

Operaatio perustuu erittäin vakuuttavaan kopioon FIFAn virallisesta verkkosivustosta. Väärennetyt sivut jäljittelevät tarkasti FIFAn PingIdentity-pohjaista kertakirjautumisjärjestelmää ja käyttävät jopa laillista asiakastunnusta, joka on kopioitu oikealta alustalta. Uskottavuuden lisäämiseksi kuvat ladataan suoraan FIFAn palvelimilta, mikä auttaa sivustoja kiertämään joitakin kopioitua sisältöä merkitseviä tunnistusmenetelmiä.

Vahingollisin ominaisuus on vilpillinen salasanan palautustoiminto. Uhrit, jotka syöttävät tietämättään tunnistetietonsa, luovuttavat tiliensä hallinnan hyökkääjille, jotka voivat sitten lukita oikean omistajan ulos ja myydä kaikki siihen liittyvät tiketit eteenpäin.

Liikennettä ohjataan pääasiassa Facebook-mainosten kautta, ja identtiset seurantatunnisteet näkyvät tietojenkalasteluverkostossa. Lisää kävijöitä saapuu Telegram-kanavien, WhatsApp-viestien ja manipuloitujen hakutulosten kautta.

Huijausinfrastruktuuri hyväksyy maksuja useiden kanavien kautta, mukaan lukien suorat korttimaksut, kolmannen osapuolen maksuyhdyskäytävät, rahansiirtopalvelut, kuten Chime ja Nequi, alueelliset meksikolaiset maksunvälittäjät ja kryptovaluuttojen muuntojärjestelmät. Kryptovaluuttojen käyttö on erityisen vaarallista, koska varastettujen varojen takaisin saaminen vaikeutuu huomattavasti.

Yksi selkeä varoitusmerkki erottuu joukosta: FIFAn virallinen lipunmyyntialusta ei hyväksy kryptovaluuttaa. Kaikkia kryptomaksuja pyytäviä myyjiä tulisi pitää vilpillisinä.

Tutkijoiden arvion mukaan pelkästään premium- ja majoituslippupetokset voisivat aiheuttaa 71–474 miljoonan dollarin tappiot. Löydetyn infrastruktuurin laajuudesta riippuen kokonaisvahingot voivat nousta miljardeihin dollareihin, vaikka nämä luvut ovatkin edelleen ennusteita eivätkä vahvistettuja tappioita.

Kasvava petosten ekosysteemi

Pelkästään tammi- ja toukokuun välisenä aikana rekisteröitiin yli 13 000 MM-kisoihin liittyvää verkkotunnusta, joista noin 8,8 % tunnistettiin haitallisiksi tai epäilyttäviksi.

FBI on jo julkaissut tiedotteita, joissa luetellaan lukuisia vilpillisiä FIFAan liittyviä verkkotunnuksia, mukaan lukien väärin kirjoitetut kaksoisolentosivustot ja väärennetyt FIFA:n työpaikkaportaalit. Tutkijat odottavat lisää haitallisia verkkotunnuksia turnauksen lähestyessä. Myös muut turvallisuusryhmät ovat tunnistaneet tuhansia jäljitelmäverkkosivustoja ja yli tuhat väärennettyä sosiaalisen median profiilia.

Lippuhuijaukset ovat vain yksi osa paljon laajempaa rikollista ekosysteemiä. Huijarit ylläpitävät myös väärennettyjen tuotteiden myymälöitä, väärennettyjä urheiluvedonlyöntialustoja ja vilpillisiä suoratoistopalveluita, jotka paitsi veloittavat tilausmaksuja myös levittävät haittaohjelmia, jotka pystyvät antamaan hyökkääjille etähallinnan uhrien laitteisiin.

Muita huijaustapoja ovat väärennetyt FIFA-arpajaisilmoitukset, joissa luvataan jopa kahden miljoonan dollarin palkintoja. Tutkijat ovat myös havainneet kasvavat tietojenkalastelupalvelumarkkinat, joissa rikolliset voivat ostaa valmiita huijauspaketteja ja automatisoituja lipunostobotteja, mikä helpottaa uusien toimijoiden pääsyä petoskenttään.

Nämä toiminnot ovat vahvasti kytköksissä toisiinsa. Väärennetyt verkkotunnukset kaappaavat lippuihin liittyviä hakuja, mainokset ja manipuloidut hakutulokset luovat liikennettä, varastetut tunnistetietokannat mahdollistavat tilien kaappaukset ja haitalliset mobiilisovellukset muuttavat ilmaisten suoratoistojen etsinnän pankkipetokseksi.

Suoratoistosovellukset, jotka varastavat enemmän kuin huomiota

Ilmaisia jalkapallon MM-kisojen lähetyksiä etsiville faneille mobiililaitteet voivat olla suurin riski.

Tutkijat havaitsivat äskettäin UEFA:n Mestarien liigan finaalin ympärillä lisääntyneen haitallisten epävirallisten suoratoistosovellusten määrän. Nämä sovellukset naamioituvat suosituiksi palveluiksi, kuten RojaDirecta. Samankaltaisten kampanjoiden odotetaan lisääntyvän jalkapallon MM-kisojen aikana.

Monet näistä sovelluksista on yhdistetty Android-pankkitroijalaisiin, mukaan lukien Massiv- ja Perseus-nimisiin haittaohjelmaperheisiin. Koska näitä sovelluksia ei ole saatavilla Google Playn kautta, käyttäjien on ohitettava Androidin sisäänrakennetut tietoturvavaroitukset asentaakseen ne.

Asennuksen jälkeen haittaohjelma väärinkäyttää Androidin esteettömyyspalveluita saadakseen laitteen laajan hallinnan. Hyökkääjät voivat näyttää väärennettyjä pankkikirjautumissivuja laillisissa sovelluksissa, tallentaa näppäinpainalluksia, siepata kertakäyttöisiä todennuskoodeja tekstiviesteistä ja todennussovelluksista sekä käyttää laitetta etänä.

Cerberus-pankkitroijalaisen vuodetun lähdekoodin avulla kehitetty Perseus menee vielä pidemmälle etsimällä muistiinpanosovelluksista tallennettuja salasanoja ja kryptovaluutan palautuslausekkeita.

Suoratoistosovellusta, joka pyytää esteettömyysoikeuksia ilman perusteltua syytä, tulisi pitää merkittävänä tietoturvavaroituksena.

Sosiaalisesta mediasta tulee metsästysmaa

Sosiaalisen median alustoista on tullut ensisijainen jakelukanava MM-kisoihin liittyville huijauksille.

Tutkijat ovat paljastaneet yli 55 jalkapalloaiheista mainoskampanjaa Facebookissa ja Instagramissa, jotka mainostavat väärennettyjä pelipaitoja, väärennettyjä Panini-keräilyesineitä ja tietojenkalastelusivustoja. Mainosinfrastruktuurin analyysi on yhdistänyt useita näistä toimista kiinalaisiin toimijoihin.

Tutkijat ovat myös luetteloineet yli 1 700 väärennettyä FIFA:n sosiaalisen median tiliä, joista lähes 90 % toimii Facebookissa ja Instagramissa. Yhdessä merkittävässä kampanjassa käytettiin vilpillisiä FIFA:n työpaikkailmoituksia ja kalenterikutsuja ohjatakseen hakijat väärennetyille Googlen kirjautumissivuille.

Samaan aikaan varastetut FIFA-tunnukset liikkuvat jo rikollisilla markkinapaikoilla. Tietoturvatutkijat ovat yhdistäneet satojatuhansia vaarantuneita käyttäjätilejä ja yli 4 600 FIFAan liittyvää verkko-osoitetta tunnistetietoja varastaviin haittaohjelmaperheisiin, kuten Vidariin, LummaC2:een ja RedLineen.

Julkisen Wi-Fi-verkon riskit isäntäkaupungeissa

Langattomat verkot MM-kisojen isäntäkaupungeissa tuovat mukanaan uuden riskin.

Méxicossa, Monterreyssa ja Guadalajarassa tehdyssä kyselyssä havaittiin, että 10–12 % havaituista Wi-Fi-verkoista oli täysin avoimia ja suojaamattomia. Lähes puolessa oli edelleen Wi-Fi Protected Setup (WPS) käytössä, mikä loi lisää hyökkäysmahdollisuuksia.

Nämä heikkoudet helpottavat rikollisten "pahan kaksoisolento" -yhteyspisteiden käyttöönottoa – haitallisia verkkoja, jotka on suunniteltu jäljittelemään laillisia Wi-Fi-tukiasemia ja salaa sieppaamaan käyttäjäliikennettä.

Miten fanit ja organisaatiot voivat pysyä suojattuina

Useat varoitusmerkit voivat auttaa tunnistamaan jalkapallon MM-kisoihin liittyvät huijaukset ennen vahinkojen sattumista:

• Osta liput ainoastaan FIFAn virallisen verkkosivuston kautta ja syötä verkko-osoite manuaalisesti sen sijaan, että luottaisit mainoksiin tai hakukoneiden linkkeihin. Ota käyttöön monivaiheinen todennus FIFA-tileillä ja vältä myyjiä, jotka pyytävät kryptovaluuttojen maksuja.
• Vältä epävirallisten suoratoistosovellusten asentamista, erityisesti sellaisten, jotka pyytävät esteettömyysoikeuksia. Kun käytät julkisia Wi-Fi-verkkoja isäntäkaupungeissa, käytä mobiilidataa aina kun mahdollista ja vältä pankki-, sähköposti- tai muiden arkaluonteisten tilien käyttöä.

Myös organisaatioilla on tärkeä rooli. Turvallisuustiimien tulisi valvoa uusia rekisteröityjä FIFA-aiheisia verkkotunnuksia, havaita vilpilliset kirjautumissivut, tunnistaa Vidarin, LummaC2:n tai RedLinen tunnistetietokannoissa altistuneet työntekijät tai asiakkaat ja valmistella petoksiin reagointitiimejä lisääntyneisiin lippukiistoihin ja takaisinperintöihin koko turnauksen ajan.

Uhat odottavat edelleen aktivoitumistaan

Ehkä huolestuttavin havainto on, että noin 3 800 tunnettua vilpillistä FIFAan liittyvää verkkotunnusta on edelleen passiivisia ja pysäköityjä, valmiina käyttöönotettaviksi milloin tahansa.

Koska tietojenkalastelupaketteja, automatisoituja botteja ja varastettuja tunnistetietoja on jo laajalti saatavilla, tutkijat odottavat riskialttiimman ajanjakson kestävän 11. kesäkuuta - 19. heinäkuuta. Tuona aikana lippujen, matkajärjestelyjen ja suoratoistopalveluiden haut ovat huipussaan, mikä luo ihanteelliset olosuhteet kyberrikollisille toiminnan laajentamiselle.