Con solo un email, una hacker accede al streaming del Mundial de Fútbol, con control total: "Podría haber parado las retransmisiones, o hacer un rickroll"
Una hacker accedió a la plataforma que controla las transmisiones del Mundial de Fútbol 2026, incluyendo las cámaras y los textos de los comentaristas.
Se supone que las transmisiones del mayor evento deportivo del mundo deben tener una seguridad de primer nivel. Especialmente con lo que odian los directivos del fútbol la piratería, hasta el punto de cortar Internet a personas inocentes. Una hacker llamada bobdahacker solo tuvo que crear una cuenta para obtener el control total de la plataforma de retransmisiones del Mundial de Fútbol 2026.
Hablamos del acceso de máximo nivel a todos sus streamings y sus claves. La posibilidad de detener la retransmisión en directo, o sustituirla por un rickroll: el meme del vídeo musical de Rick Astley, como ella misma bromea.
Con control total de las cinco cámaras de cada estadio, los datos que ven los comentaristas, e incluso la opción de cambiar los mensajes que retransmiten durante los partidos. La historia es surrealista, pero está perfectamente documentada.
Hackeando las transmisiones del Mundial de Fútbol
Según cuenta bobdahacker en su blog, la FIFA tiene una plataforma pública para registrarte como representante de futbolistas. Lo único que tienes que hacer es meter tus datos, tu DNI, y un email.
Con esta cuenta, tuvo acceso a la web de Agentes de Fútbol de la FIFA. Desde ahí intentó entrar en la plataforma de datos de la FIFA, a la que los representantes tienen acceso, con datos públicos de los equipos, jugadores, etc.
La plataforma le negó la entrada, informándola de que no tenía ningún rol asignado. Vamos, que su cuenta aún no había sido reconocida por el sistema. Algo lógico, acababa de registrarse y no habían comprobado su identidad.
La sorpresa llegó cuando, como hacker que era, se dió cuenta de que todo esto ocurría del lado del cliente. La aplicación comprobaba si el JWT (pase de acceso) contenía el marcador NO_ROLES y mostraba la página de acceso denegado. ¿Y las API del backend? No comprobaban nada. Simplemente servían lo que se les pidiera.
Solo tuvo que sortear estos controles del lado del cliente, algo muy fácil para un hacker, y obtuvo el acceso total al panel de gestión del streaming del Mundial. “Me quedé con la boca abierta”, asegura bobdahacker.
Desde esta plataforma, podía acceder a todos los streamings en directo o en diferido de todos los partidos. A cada cámara. A cada clave de streaming. Incluso al botón que permite parar la transmisión en directo y dejar a cientos de millones de personas con una imagen en negro, como se ve en esta captura:
Incluso pudo ver un partido en su PC con el reproductor VLC. Como la clave del streaming estaba dentro de la propia dirección URL, podía cambiar el contenido por cualquier vídeo o mensaje, y eso es lo que verían cientos de millones de personas en directo.
El acceso total a las pantallas de los comentaristas le permitía hacer cosas como modificar las notas de los comentarios editoriales y publicarlas en los sistemas de retransmisión, adelantar o retrasar el pitido del árbitro para iniciar el partido, o cambiar las alineaciones, los resultados y las estadísticas que los comentaristas usan en las retransmisiones en directo.
Por supuesto, no tocó nada, porque podría cometer un delito grave. Intentó contactar con los correos y números de móvil de los servicios legales y de tecnología de la FIFA. Nadie le respondió. Finalmente contactó con el FBI, que le dijo que lo comprobarían.
A la mañana siguiente, la vulnerabilidad estaba corregida. Ella no recibió ninguna llamada de la FIFA. Ningún agradecimiento. Menos aún, una recompensa. Así suele ocurrir casi siempre. Si el hackeo a las transmisiones del Mundial de Fútbol 2026 lo hubiese llevado a cabo un ciberdelincuente, el daño podría haber sido gravísimo.