FIFA VM-bluffen 2026

Säkerhetsforskare och FBI varnar för att en storskalig våg av FIFA-relaterade bedrägerier redan riktar sig mot fans av fotbolls-VM 2026, trots att turneringen inte börjar förrän den 11 juni.

Evenemanget erbjuder en attraktiv möjlighet för cyberbrottslingar. Mer än sex miljoner åskådare förväntas delta i matcher i 16 städer i USA, Kanada och Mexiko. FIFA rapporterade att de mottagit över 150 miljoner biljettförfrågningar under de första 15 dagarna av försäljningen, vilket gör att efterfrågan är ungefär 30 gånger större än det tillgängliga utbudet. Knappa biljetter, oroliga fans och snabba transaktioner har skapat idealiska förutsättningar för storskaliga bedrägerier.

Nyligen genomförda undersökningar har avslöjat tusentals bedrägliga domäner med FIFA-tema, skadlig kod gömd i obehöriga streamingapplikationer och sofistikerade nätfiskekampanjer som kan kapa legitima FIFA-konton.

Uppkomsten av GHOST STADIUM-nätverket för nätfiske

Forskare har identifierat fler än 4 300 bedrägliga FIFA-relaterade domäner som registrerats sedan augusti 2025. I centrum för denna aktivitet finns en ekonomiskt motiverad kinesisktalande grupp känd som GHOST STADIUM, som driver en nätfiskeinfrastruktur som omfattar fler än 300 webbplatser.

Operationen bygger på en mycket övertygande kopia av FIFA:s officiella webbplats. De falska sidorna imiterar nära FIFA:s PingIdentity-drivna system för enkel inloggning och använder till och med ett legitimt klient-ID kopierat från den riktiga plattformen. För att öka trovärdigheten laddas bilder direkt från FIFA:s servrar, vilket hjälper webbplatserna att undvika vissa detekteringsmetoder som flaggar kopierat innehåll.

Den mest skadliga funktionen är en bedräglig funktion för lösenordsåterställning. Offer som omedvetet anger sina inloggningsuppgifter överlämnar kontrollen över sina konton till angripare, som sedan kan spärra ute den rättmätiga ägaren och sälja vidare alla tillhörande ärenden.

Trafiken drivs främst via Facebook-annonser, där identiska spårningsidentifierare visas i hela nätfiskenätverket. Ytterligare besökare anländer via Telegram-kanaler, WhatsApp-meddelanden och manipulerade sökresultat.

Bluffinfrastrukturen accepterar betalningar via flera kanaler, inklusive direkta korttransaktioner, tredjepartsbetalningsportaler, pengaöverföringstjänster som Chime och Nequi, regionala mexikanska processorer och kryptovalutakonverteringssystem. Kryptovalutaalternativet är särskilt farligt eftersom det blir betydligt svårare att återfå stulna medel.

En tydlig varningstecken sticker ut: FIFA:s officiella biljettplattform accepterar inte kryptovaluta. Alla säljare som begär kryptobetalningar bör betraktas som bedrägerier.

Forskare uppskattar att bedrägerier med premium- och hotellbiljetter ensamma kan generera förluster på mellan 71 och 474 miljoner dollar. Baserat på omfattningen av den upptäckta infrastrukturen kan de totala skadorna potentiellt uppgå till miljarder dollar, även om dessa siffror förblir prognoser snarare än bekräftade förluster.

Ett växande ekosystem av bedrägerier

Bara mellan januari och maj registrerades fler än 13 000 domäner med VM-tema, varav cirka 8,8 % identifierades som skadliga eller misstänkta.

FBI har redan publicerat meddelanden som listar ett flertal bedrägliga FIFA-relaterade domäner, inklusive felstavade lookalike-webbplatser och falska FIFA-anställningsportaler. Utredare förväntar sig att ytterligare skadliga domäner kommer att dyka upp när turneringen närmar sig. Andra säkerhetsteam har också identifierat tusentals imitationswebbplatser och mer än tusen falska profiler på sociala medier.

Biljettbedrägerier representerar bara en del av ett mycket större kriminellt ekosystem. Bedragare driver också butiker med förfalskade varor, falska sportspelplattformar och bedrägliga streamingtjänster som inte bara tar ut prenumerationsavgifter utan också distribuerar skadlig programvara som kan ge angripare fjärrkontroll över offrens enheter.

Ytterligare upplägg inkluderar falska FIFA-lotterimeddelanden som utlovar priser på upp till 2 miljoner dollar. Forskare har också identifierat en växande marknad för phishing-as-a-service där brottslingar kan köpa färdiga bluffkit och automatiserade bottar för lottköp, vilket gör det lättare för nya aktörer att komma in i bedrägerilandskapet.

Dessa operationer är starkt sammankopplade. Falska domäner fångar upp sökningar relaterade till biljetter, annonser och manipulerade sökresultat genererar trafik, stulna inloggningsuppgifter möjliggör kontoövertaganden och skadliga mobilapplikationer förvandlar en sökning efter gratisströmmar till bankbedrägeri.

Streamingappar som stjäl mer än bara uppmärksamhet

För fans som söker efter gratis VM-sändningar kan mobila enheter utgöra den största risken.

Forskare observerade nyligen en ökning av skadliga inofficiella streamingapplikationer som utgav sig för att vara populära tjänster som RojaDirecta runt UEFA Champions League-finalen. Liknande kampanjer förväntas intensifieras under VM.

Många av dessa applikationer har kopplats till Android-banktrojaner, inklusive skadliga programfamiljer som Massiv och Perseus. Eftersom dessa appar inte är tillgängliga via Google Play måste användare kringgå Androids inbyggda säkerhetsvarningar för att installera dem.

När den skadliga programvaran väl är installerad missbrukar den Androids tillgänglighetstjänster för att få omfattande kontroll över enheten. Angripare kan visa falska bankinloggningssidor över legitima appar, spela in tangenttryckningar, avlyssna engångsautentiseringskoder från SMS-meddelanden och autentiseringsappar och fjärrstyra enheten.

Perseus, som utvecklades med läckt källkod från banktrojanen Cerberus, går ännu längre genom att söka i anteckningsapplikationer efter lagrade lösenord och fraser för kryptovalutaåterställning.

En streamingapplikation som begär åtkomstbehörigheter utan giltigt skäl bör behandlas som en allvarlig säkerhetsvarning.

Sociala medier blir en jaktmark

Sociala medieplattformar har blivit en primär distributionskanal för VM-bedrägerier.

Forskare har avslöjat fler än 55 reklamkampanjer med fotbollstema på Facebook och Instagram som marknadsför förfalskade tröjor, falska Panini-samlarföremål och nätfiskewebbplatser. Analys av reklaminfrastrukturen har kopplat flera av dessa verksamheter till kinesiska operatörer.

Utredarna har också katalogiserat fler än 1 700 falska FIFA-konton på sociala medier, varav nästan 90 % finns på Facebook och Instagram. En anmärkningsvärd kampanj använde falska FIFA-jobbannonser och kalenderinbjudningar för att omdirigera sökande till förfalskade Google-inloggningssidor.

Samtidigt cirkulerar stulna FIFA-inloggningsuppgifter redan på kriminella marknadsplatser. Säkerhetsforskare har kopplat hundratusentals komprometterade användarkonton och mer än 4 600 FIFA-relaterade webbadresser till familjer av skadliga program som stjäl inloggningsuppgifter, såsom Vidar, LummaC2 och RedLine.

Risker med offentligt Wi-Fi i värdstäder

Trådlösa nätverk i VM-värdstäderna medför ytterligare en risknivå.

En undersökning som genomfördes i Mexico City, Monterrey och Guadalajara visade att mellan 10 % och 12 % av de upptäckta Wi-Fi-nätverken var helt öppna och osäkra. Nästan hälften hade fortfarande Wi-Fi Protected Setup (WPS) aktiverat, vilket skapade ytterligare attackmöjligheter.

Dessa svagheter gör det enklare för brottslingar att driftsätta "onda tvillingar" – hotspots – skadliga nätverk utformade för att imitera legitima Wi-Fi-åtkomstpunkter och i hemlighet avlyssna användartrafik.

Hur fans och organisationer kan skyddas

Flera varningstecken kan hjälpa till att identifiera VM-relaterade bedrägerier innan skada uppstår:

• Köp biljetter endast via FIFA:s officiella webbplats och ange webbadressen manuellt istället för att förlita dig på annonser eller sökmotorlänkar. Aktivera multifaktorautentisering på FIFA-konton och undvik att säljare begär kryptovalutabetalningar.
• Undvik att installera inofficiella streamingappar, särskilt de som begär åtkomstbehörigheter. När du använder offentligt Wi-Fi i värdstäder, förlita dig på mobildata när det är möjligt och undvik att använda bankkonton, e-post eller andra känsliga konton.

Organisationer har också en viktig roll att spela. Säkerhetsteam bör övervaka nyregistrerade FIFA-temadomäner, upptäcka bedrägliga inloggningssidor, identifiera anställda eller kunder som exponeras i Vidar-, LummaC2- eller RedLine-autentiseringsdumpar och förbereda bedrägeribekämpningsteam för ökad biljetttvist och chargeback-aktivitet under hela turneringen.

Hoten väntar fortfarande på att aktiveras

Det kanske mest oroande fyndet är att ungefär 3 800 kända bedrägliga FIFA-relaterade domäner förblir inaktiva och parkerade, redo att driftsättas när som helst.

Med nätfiskeprogram, automatiserade robotar och stulna inloggningsuppgifter redan allmänt tillgängliga, förväntar sig forskare att perioden med högst risk kommer att löpa från 11 juni till 19 juli. Under det fönstret kommer sökningar efter biljetter, researrangemang och streamingtjänster att nå sin topp, vilket skapar idealiska förutsättningar för cyberbrottslingar att expandera sin verksamhet.