FIFA VM-svindel i 2026

Sikkerhetsforskere og FBI advarer om at en storstilt bølge av FIFA-relatert svindel allerede retter seg mot fans av VM i 2026, til tross for at turneringen ikke starter før 11. juni.

Arrangementet gir en attraktiv mulighet for nettkriminelle. Mer enn seks millioner tilskuere forventes å delta på kamper i 16 byer i USA, Canada og Mexico. FIFA rapporterte å ha mottatt over 150 millioner billettforespørsler i løpet av de første 15 dagene av salget, noe som gjør etterspørselen omtrent 30 ganger større enn det tilgjengelige tilbudet. Knappe billetter, engstelige fans og raske transaksjoner har skapt ideelle forhold for storskala svindel.

Nyere undersøkelser har avdekket tusenvis av FIFA-relaterte svindeldomener, skadelig programvare skjult i uautoriserte strømmeapplikasjoner og sofistikerte phishing-kampanjer som er i stand til å kapre legitime FIFA-kontoer.

Fremveksten av GHOST STADIUM Phishing-nettverket

Forskere har identifisert mer enn 4300 falske FIFA-relaterte domener registrert siden august 2025. I sentrum for denne aktiviteten står en økonomisk motivert kinesisktalende gruppe kjent som GHOST STADIUM, som driver en phishing-infrastruktur som strekker seg over mer enn 300 nettsteder.

Operasjonen er basert på en svært overbevisende kopi av FIFAs offisielle nettsted. De falske sidene imiterer FIFAs PingIdentity-drevne system for enkel pålogging og bruker til og med en legitim klient-ID kopiert fra den virkelige plattformen. For å øke troverdigheten lastes bilder direkte fra FIFAs servere, noe som hjelper nettstedene med å unngå noen deteksjonsmetoder som flagger kopiert innhold.

Den mest skadelige funksjonen er en falsk funksjon for tilbakestilling av passord. Ofre som uvitende oppgir påloggingsinformasjonen sin, gir kontroll over kontoene sine til angripere, som deretter kan låse ute den rettmessige eieren og videreselge eventuelle tilknyttede billetter.

Trafikken drives hovedsakelig gjennom Facebook-annonser, med identiske sporingsidentifikatorer som vises på tvers av phishing-nettverket. Ytterligere besøkende kommer via Telegram-kanaler, WhatsApp-meldinger og manipulerte søkeresultater.

Svindelinfrastrukturen aksepterer betalinger gjennom flere kanaler, inkludert direkte korttransaksjoner, tredjeparts betalingsportaler, pengeoverføringstjenester som Chime og Nequi, regionale meksikanske prosessorer og kryptovalutakonverteringssystemer. Kryptovalutaalternativet er spesielt farlig fordi det blir betydelig vanskeligere å gjenopprette stjålne midler.

Ett tydelig varseltegn skiller seg ut: FIFAs offisielle billettplattform godtar ikke kryptovaluta. Enhver selger som ber om kryptobetalinger bør anses som svindel.

Forskere anslår at svindel med premium- og hotellbilletter alene kan generere tap på mellom 71 og 474 millioner dollar. Basert på omfanget av den oppdagede infrastrukturen, kan de totale skadene potensielt nå milliarder av dollar, selv om disse tallene forblir anslag snarere enn bekreftede tap.

Et voksende økosystem av svindel

Bare mellom januar og mai ble det registrert mer enn 13 000 domener med VM-tema, hvorav omtrent 8,8 % ble identifisert som ondsinnede eller mistenkelige.

FBI har allerede publisert råd som viser en rekke falske FIFA-relaterte domener, inkludert feilstavede nettsteder med lignende navn og falske FIFA-jobbportaler. Etterforskere forventer at flere ondsinnede domener vil dukke opp etter hvert som turneringen nærmer seg. Andre sikkerhetsteam har også identifisert tusenvis av imitasjonsnettsteder og mer enn tusen falske profiler på sosiale medier.

Billettsvindel representerer bare én del av et mye større kriminelt økosystem. Svindlere driver også butikker med forfalskede varer, falske sportsbettingplattformer og uredelige strømmetjenester som ikke bare krever abonnementsavgifter, men også distribuerer skadelig programvare som kan gi angripere fjernkontroll over ofrenes enheter.

Ytterligere ordninger inkluderer falske FIFA-lotterivarsler som lover premier på opptil 2 millioner dollar. Forskere har også identifisert et voksende marked for phishing-som-en-tjeneste der kriminelle kan kjøpe ferdige svindelsett og automatiserte boter for billettkjøp, noe som gjør det enklere for nye aktører å komme inn i svindellandskapet.

Disse operasjonene er tett sammenkoblet. Falske domener fanger opp billettrelaterte søk, annonser og manipulerte søkeresultater genererer trafikk, stjålne legitimasjonsdatabaser muliggjør kontoovertakelser, og ondsinnede mobilapplikasjoner forvandler et søk etter gratis strømmer til banksvindel.

Strømmeapper som stjeler mer enn oppmerksomhet

For fans som søker etter gratis VM-sendinger, kan mobile enheter utgjøre den største risikoen.

Forskere observerte nylig en bølge av ondsinnede uoffisielle strømmeapplikasjoner som utga seg for å være populære tjenester som RojaDirecta rundt UEFA Champions League-finalen. Lignende kampanjer forventes å intensiveres under VM.

Mange av disse applikasjonene har blitt koblet til Android-banktrojanere, inkludert skadevarefamilier kjent som Massiv og Perseus. Fordi disse appene ikke er tilgjengelige via Google Play, må brukere omgå Androids innebygde sikkerhetsadvarsler for å installere dem.

Når den er installert, misbruker skadevaren Androids tilgjengelighetstjenester for å få omfattende kontroll over enheten. Angripere kan vise falske bankpåloggingssider i legitime apper, registrere tastetrykk, fange opp engangsautentiseringskoder fra SMS-meldinger og autentiseringsapper, og fjernstyre enheten.

Perseus, som ble utviklet med lekket kildekode fra banktrojaneren Cerberus, går enda lenger ved å søke i notatprogrammer etter lagrede passord og kryptovalutagjenopprettingsfraser.

En strømmeapplikasjon som ber om tilgjengelighetstillatelser uten legitim grunn, bør behandles som en alvorlig sikkerhetsadvarsel.

Sosiale medier blir et jaktområde

Sosiale medieplattformer har blitt en primær distribusjonskanal for VM-svindel.

Forskere har avdekket mer enn 55 reklamekampanjer med fotballtema på Facebook og Instagram som promoterer forfalskede drakter, falske Panini-samleobjekter og phishing-nettsteder. Analyse av reklameinfrastrukturen har knyttet flere av disse operasjonene til kinesiske operatører.

Etterforskerne har også katalogisert mer enn 1700 falske FIFA-kontoer på sosiale medier, hvorav nesten 90 % opererer på Facebook og Instagram. En bemerkelsesverdig kampanje brukte falske FIFA-stillingsannonser og kalenderinvitasjoner for å omdirigere søkere til forfalskede Google-innloggingssider.

I mellomtiden sirkulerer stjålne FIFA-legitimasjoner allerede på kriminelle markeder. Sikkerhetsforskere har koblet hundretusenvis av kompromitterte brukerkontoer og mer enn 4600 FIFA-relaterte nettadresser til skadevarefamilier som stjeler legitimasjon, som Vidar, LummaC2 og RedLine.

Risikoer knyttet til offentlig Wi-Fi i vertsbyer

Trådløse nettverk i VM-vertsbyene introduserer et nytt risikolag.

En undersøkelse utført i Mexico by, Monterrey og Guadalajara fant at mellom 10 % og 12 % av de oppdagede Wi-Fi-nettverkene var helt åpne og usikre. Nesten halvparten hadde fortsatt Wi-Fi Protected Setup (WPS) aktivert, noe som skapte ytterligere angrepsmuligheter.

Disse svakhetene gjør det enklere for kriminelle å distribuere «onde tvillinger»-hotspots – ondsinnede nettverk som er utformet for å imitere legitime Wi-Fi-tilgangspunkter og i hemmelighet avlytte brukertrafikk.

Hvordan fans og organisasjoner kan forbli beskyttet

Flere varseltegn kan bidra til å identifisere VM-relaterte svindelforsøk før skade oppstår:

• Kjøp billetter kun via FIFAs offisielle nettside og skriv inn nettadressen manuelt i stedet for å stole på annonser eller søkemotorlenker. Aktiver flerfaktorautentisering på FIFA-kontoer og unngå at selgere ber om kryptovalutabetalinger.
• Unngå å installere uoffisielle strømmeapper, spesielt de som ber om tilgjengelighetstillatelser. Når du bruker offentlig Wi-Fi i vertsbyer, bør du stole på mobildata når det er mulig, og unngå å få tilgang til bankkontoer, e-post eller andre sensitive kontoer.

Organisasjoner har også en viktig rolle å spille. Sikkerhetsteam bør overvåke nyregistrerte FIFA-temadomener, oppdage falske innloggingssider, identifisere ansatte eller kunder som er eksponert i Vidar-, LummaC2- eller RedLine-legitimasjonsdumper, og forberede svindelresponsteam på økte billetttvister og tilbakeføringsaktivitet gjennom hele turneringen.

Truslene venter fortsatt på å bli aktivert

Det kanskje mest bekymringsfulle funnet er at omtrent 3800 kjente falske FIFA-relaterte domener forblir inaktive og parkerte, klare til utplassering når som helst.

Med phishing-sett, automatiserte roboter og stjålne legitimasjonsdetaljer allerede allment tilgjengelige, forventer forskere at perioden med høyest risiko vil vare fra 11. juni til 19. juli. I løpet av dette vinduet vil søk etter billetter, reisearrangementer og strømmetjenester nå sitt høydepunkt, noe som skaper ideelle forhold for nettkriminelle til å utvide virksomheten sin.