דו"ח מזהיר מהרחבת שטח ההתקפה הסייברנטית סביב גביע העולם 2026

סאדנויז - עם התקרבות השקת גביע העולם בכדורגל 2026, הסיכונים הסובבים את הטורניר כבר לא מוגבלים לביטחון האצטדיונים או ניהול הקהלים. דו"ח חדש של יחידת "יונט 42" التابعة לחברת "פאלו אלטו נטוורקס" רואה כי האירוע הספורטיבי הגדול בעולם יכול להפוך גם לאחד משטחי ההתקפה הסייברנטית הרחבים ביותר, לא רק בגלל מספר המשחקים והקהל, אלא מכיוון שכל משחק יתבסס על רשת מורכבת של מערכות זמניות וקבועות, שירותים עירוניים ורשתות אספקה דיגיטליות.

טורניר בהיקף חסר תקדים

גביע העולם של 2026 יתקיים במשך 39 יום, בין 11 ביוני ל-19 ביולי, ב-16 ערים ב-3 מדינות, שהן ארצות הברית, קנדה ומקסיקו. הטורניר יכלול 48 נבחרות ו-104 משחקים, עם צפי להשתתפות של 5 עד 6 מיליון אוהדים באצטדיונים, בנוסף לקהל שידור עולמי שמתקרב לחצי מאוכלוסיית העולם. הדו"ח מציין כי מהדורה זו תהיה הראשונה המתבצעת בשיתוף בין 3 מדינות, כלומר ריבוי גופים רגולטוריים, שפות, תשתיות ומערכות מקומיות הקשורות לאירוע.

הדו"ח רואה את הסיכון לא טמון רק באצטדיונים; כל משחק ינוהל באמצעות "רשת זמנית רב חוגית" שמתווספת לסביבות קיימות באצטדיונים הנמצאים בשימוש בדרך כלל עבור ליגות כמו "NFL", "MLS", "CFL" ו"Liga MX". רשת זו אינה פועלת בנפרד מהעיר, אלא מתבססת על שירותי תחבורה ציבורית, רמזורי תנועה, מים, ביוב, חשמל, שדות תעופה ושירותי חירום.

לפי הדו"ח, כל נקודה מהרשימה הזו יכולה להיכנס לתחום העניין של היריבים הסייברנטיים.

שלושה מנועי סיכון

״יונט 42״ מזהה שלושה מנועי סיכון מרכזיים. הראשון קשור לפעילות הסייבר המיוחסת לגורמים הקשורים לאיראן; בעיקר לאחר עליית המתחים האזוריים ב-2026, שלאחריהם התבצעו מתקפות על תשתיות אמריקאיות הפתוחות באינטרנט, כולל יחידות בקרת תהליכים בתחומי המים, החשמל והשירותים העירוניים. השני קשור להאקינג עם רקע רוסי; הדו"ח מציין כי קבוצת "NoName057(16)" ביצעה יותר מ-3700 התקפות DDoS מוכרות נגד ממשלות וקטגוריות חיוניות במדינות חברות בנאט"ו מאז 2022. השלישי הוא הפשיעה הסייברנטית עם מניע פיננסי, מהונאות כרטיסים ועד מתקפות כופר נגד ענף האירוח.

המספרים ההיסטוריים מעניקים להטרדות הללו הקשר ברור יותר; בגביע העולם 2022 בקטר, קבוצת "Group - IB" זיהתה יותר מ-16 אלף דומיינים מזויפים, יותר מ-40 אפליקציות מזויפות, יותר מ-50 חשבונות מזויפים ברשתות החברתיות, בנוסף ל-90 חשבונות שהופרצו על ידי בפורטל "היה" של האוהדים. באולימפיאדה של פריז 2024, הסוכנות הצרפתית לביטחון סייבר דיווחה על יותר מ-140 אירועים סייברנטיים, מתוכם 22 פריצות מוצלחות, בנוסף למתקפת כופר נגד אתר "גרנד פלאס", וכ-40 מוזיאונים.

על אף שלא היה נתק בתחרויות, הדו"ח קובע כי זאת בזכות הכנה שהחלה לפני מספר שנים, וכללה אימונים הקשורים לכ-500 מתקנים הקשורים למשחקים.

אוהדים כמטרה ישירה

עבור האוהדים, הפשיעה הפיננסית מהווה את הסיכון הגבוה ביותר מבחינת היקף וסבירות. הדו"ח מציין חמישה סוגים עיקריים של הונאה הקשורה לכרטיסים, כולל אתרי מכירה מחדש מזויפים, חשבונות מזויפים ברשתות החברתיות, הודעות פישינג דרך תחרויות או פרסים, אפליקציות מזויפות בחנויות האפליקציות הרשמיות, והתקפות הצפה של נתונים נגד פורטלי האוהדים.

כמו כן, הוא מבליט סיכונים אחרים סביב שהות ואירוח, מפתחות דיגיטליים של בתי מלון, נקודות מכירה, ופעולות הונאה הקשורות לקודים של "QR" בתחבורה ציבורית, חניות ורישיונות נ移动.

רשת אספקה מורכבת

שטח ההתקפה מתרחב בגלל האופי הרב-עירוני של הטורניר; כל עיר מארחת תתקשר באופן עצמאי עם ספקי תפעול האצטדיונים, ביטחון, תחבורה, אירוח, שירותי אוכל, שלטים ואזורי אוהדים ורשתות תקשורת מקומיות.

הדו"ח מזכיר את מתקפת "Olympic Destroyer" בפיונגצ'אנג (2018); שם נפגעו המערכות של ה-Wi-Fi, האתר הרשמי, כרטיסים, ומטוסי שידור ללא טייס, והופרצו יותר מ-300 מערכות לפני שחודשה השירות לאחר 12 שעות. הדו"ח משתמש במקרה הזה כדי להזהיר שהספקים עלולים להפוך לפתח התקפה לפני שהמארגן עצמו יהפך למטרה.

חוליות דיגיטליות המתקשרות זו עם זו

הדו"ח מחלק את התשתית הדיגיטלית של הטורניר לחוליות רבות, לכל אחת סיכון שונה, כך שחוליית המשחק, השיפוט וטכנולוגיית הווידאו עלולה להיתקל בסיכונים שפוגעים בהגינות התחרות או בשידור ברגע מפתח. לעומת זאת, חוליית תפעול האצטדיון עלולה לכלול כניסות, סריקות כרטיסים, מסכים, קריאות ציבוריות, Wi-Fi וקרדיט. חוליית ניהול הטורניר כוללת לוחות זמנים, תוצאות, סטטיסטיקות ושידורים. החוליה המסחרית כוללת מערכות אירוח, תשלומים ונאמנות, בעוד שהחוליה המיועדת לאוהדים כוללת אפליקציות "פיג'ה", כרטיסים, שידורים וחשבונות דיגיטליים. מעל כל זאת, שירותי העיר המארחת, כמו תחבורה, חשמל, מים, ושדות תעופה, מהווים חלק מהסיכונים הקשורים לאירוע.

תסריטים רגישים יותר

הדו"ח לא שולל תסריטים רגישים יותר, כגון השבתה של מערכות תפעוליות במתקן עירוני לפני משחק חשוב, או מתקפת כופר נגד חברת מלונות גדולה במהלך השבוע האחרון של הטורניר, דבר שעשוי להשפיע על הכניסה לחדרים, רישום בידי טלפון, ונקודות המכירה במשך פרק זמן של 48 עד 72 שעות. הדו"ח ממליץ על אימונים מקדימים עם בתי המלון, بروטוקולי בדיקה ברורים למשרדי תמיכה טכנית, ותוכניות תפעול לא מקוונות למערכות ניהול המקרקע.

גביע העולם 2026 לא יהיה רק מבחן ספורטיבי ולוגיסטי, אלא גם מבחן של תשתית דיגיטלית המתקיימת בין האצטדיונים, הערים, הספקים והאוהדים. ההתקפה הפוטנציאלית כבר לא מכוונת לאתר אחד או אפליקציה בודדת, אלא למערכת שלמה הכוללת כרטיסים, זהות, אירוח, תחבורה, תשלומים ומבנה תפעולי. באירוע בגודל כזה, לא נמדדת היכולת של המארגנים למנוע את ההתקפה בלבד, אלא גם ביכולתם לנהל אותה במהירות ולמנוע את הפיכתה להפרעה שמשפיעה על ניסיון האוהדים, או על בטיחות הפעולות, או על אמון הציבור.