I Mondiali FIFA 2026, che si stanno disputando negli Stati Uniti, in Canada e in Messico, sono l’evento sportivo più esposto mediaticamente della storia.
Per comprendere la portata del torneo, basti pensare alle oltre 150 milioni di richieste di biglietti a fronte dei 6 milioni di posti disponibili. In un contesto di questo tipo, con l’attenzione di miliardi di appassionati concentrata sulla kermesse, era prevedibile che i cybercriminali focalizzassero i loro impegni ostili e le loro attività illecite proprio in questa direzione.
Nello specifico, elementi come scarsità, urgenza e giro di denaro, sembrano prestarsi particolarmente per frodi di phishing, secondo quanto riportato dall’FBI e come confermato da diverse aziende specializzate in cybersecurity. Gli stessi esperti hanno descritto un’infrastruttura fraudolenta già operativa, ben finanziata e in rapida espansione.
Questo ecosistema non è composto da pagine di phishing casuali, ma da un sistema stratificato di domini falsi, malware bancari, furti di credenziali e impersonificazione sui social media. Tutti elementi convergenti nello stesso periodo temporale e con lo stesso fine.
Mondiali FIFA 2026: l’operazione Ghost Stadium e i 300 siti usati per il phishing
Group-IB, che ha tracciato oltre 4.300 domini fraudolenti con riferimenti alla FIFA registrati a partire dall’agosto 2025. Questa operazione è stata battezzata Ghost Stadium, una campagna cinese motivata finanziariamente che utilizza un singolo kit di phishing su oltre 300 siti.
Le pagine falsate sono cloni quasi perfetti del sito FIFA.com sotto il punto di vista grafico.
Per rendere tutto ancora più credibile, le immagini presenti vengono caricate direttamente dai server di FIFA, rendendo la pagina apparentemente autentica. Un login falso chiede anche di reimpostare la password, e quando un utente inserisce le credenziali, l’attaccante lo direziona verso pagine per l’acquisto di biglietti fittizi.
La maggior parte del traffico proviene da ads Facebook, oltre a link su Telegram, WhatsApp e risultati di ricerca. Le opzioni di pagamento includono sia carte che app di trasferimento denaro e occasionalmente anche criptovalute.
I dati segnalati da FortiGuard Labs sono ancora più preoccupanti. Gli esperti hanno conteggiato oltre 13.000 domini a tema Mondiali FIFA 2026 registrati tra gennaio e maggio 2026, circa 8,8% classificati come malevoli o perlomeno sospetti.
Secondo l’FBI, analizzare il dominio prima dell’eventuale acquisto dei biglietti è essenziale: errori ortografici o caratteri anomali sono segnali evidenti di una truffa.
Non solo frodi con i biglietti
La frode dei biglietti non è l’unico modus operandi dei cybercriminali quando si parla di Mondiali FIFA 2026.
Group-IB ha trovato anche negozi di merce contraffatta, siti di streaming malevoli con abbonamenti fittizi e malware, oltre a piattaforme di scommesse false che raccolgono scansioni di passaporto e selfie per furto di identità.
Al di là di queste operazioni, non mancano alcune campagne alquanto fantasiose. Per esempio, Bitdefender ha scoperto una sedicente lotteria tramite posta elettronica della FIFA. La stessa prometteva premi fino a 2 milioni di dollari.
Per i fan che cercano streaming gratuiti delle partite, il pericolo maggiore è lo smartphone: ThreatFabric ha osservato un picco di app di streaming maligne, molte che si fingono la popolare RojaDirecta, piattaforma famosa per lo streaming illegale di eventi sportivi.
Kaspersky ha individuato e analizzato queste app, collocando prevalentemente in due famiglie di trojan bancari Android: Massiv e Perseus. Nessun software di questo tipo viene distribuito tramite Google Play, quindi per installare tali applicazioni è necessario superare gli avvisi di allerta proposti da Android.
Una volta configurato, il malware usa strumenti di accessibilità per sovrapporre schermate di login bancario falso su app reali, registrare la digitazione di testo, intercettare codici one-time da SMS e app authenticator, e controllare lo schermo da remoto. Perseus, nello specifico, costruito su codice leakato dal più datato trojan Cerberus, e come esso in grado di leggere anche app di note per carpire password salvate e altre credenziali. Il segnale rosso più semplice, secondo ThreatFabric, è che nessuna app di streaming legittima ha bisogno di permessi per le funzioni di accessibilità.
I cybercriminali non risparmiano social network e reti Wi-Fi
Fortinet ha conteggiato oltre 1.700 account FIFA falsificati sui social network, quasi il 90% su Facebook e Instagram. Bitdefender ha trovato oltre 55 campagne advertising a tema calcio sulle due piattaforme appena citate. Nella maggior parte dei casi, la pubblicità fittizia riguarda kit contraffatti, adesivi Panini falsi e pagine di phishing.
Il Wi-Fi nelle città che ospitano le partite è un altro problema da non sottovalutare: un’analisi sul territorio attuata da Kaspersky (che ha coinvolto centri come Città del Messico, Monterrey e Guadalajara) ha identificato un 10-12% di reti aperte e senza password, con la funzione pairing WPS ancora attiva su quasi metà delle stesse.
Entrambe lasciano aperture per hotspots “evil twin” rogue, ovvero sistemi che copiano una rete reale e intercettano in modo silenzioso il traffico.
Come vivere i Mondiali senza rischi
Sebbene i pericoli siano concreti, bastano un po’ di accortezze per evitare il peggio.
I biglietti, per esempio, vanno comprati solo sul sito ufficiale della FIFA, senza effettuare ricerche online, che restano potenzialmente a rischio anche in un contesto di SEO poisoning.
Attivare, quanto possibile, l’autenticazione multi-fattore è un livello di protezione che va oltre l’ambito di questo evento. Evitare di concedere permessi a livello di accessibilità per app di streaming, come già accennato, è un altro passo essenziale. Fare attenzione alle reti Wi-Fi pubbliche, prediligendo dati mobile per operazioni sensibili come transazioni bancarie.
Anche la FIFA, in collaborazione con i colossi tech, si è mossa per limitare l’operato dei cybercriminali. Meta, per esempio, ha introdotto dei pop-up su Facebook quando gli utenti cercano informazioni riguardanti i biglietti per i match. Se questo non sembra poter bastare a fermare del tutto gli attacchi, di certo può aiutare a contenere il numero di vittime.
