Lek maakte overnemen streams WK Voetbal mogelijk zonder authenticatie

Het streamingplatform van de FIFA voor het WK Voetbal voor mannen 2026 maakte het mogelijk de streams te bekijken en over te nemen zonder authenticatie op de server. Een beveiligingsonderzoeker kreeg toegang zonder rechten te hebben.

Dit nieuws in het kort

• Een beveiligingsonderzoeker had toegang tot de camerastreams en het dataplatform van FIFA. Dat was over te nemen zonder authenticatie
• Daardoor hadden kwaadwillenden de FIFA-streams kunnen vervangen voor eigen streams
• Het lek is gedicht, maar FIFA heeft niet gereageerd

Beveiligingsonderzoeker BobDaHacker registreerde zich bij het FIFA Agent-platform, wat werkte zonder controle of hij echt voetbalagent was. Bij het benaderen van de backend voor het dataportal van het WK Voetbal voor mannen bleek dat het platform alleen een clientside-check deed op de rol in Entra, het Microsoft-platform voor authenticatie. Daardoor was dat makkelijk te raadplegen, schrijft BobDaHacker.

Vervolgens kreeg de beveiligingsonderzoeker toegang tot het Streaming Management-platform, waarop alle streams staan van alle camera's in een stadion. Die waren per wedstrijd gegroepeerd, met daarbij onder meer de RTMP-URL waar de stream heen gaat, een preview-URL om de stream te bekijken en de HLS-stream voor omroepen.

Aan het einde bleek een UUID te staan die hetzelfde is voor elke stream, wat erop wijst dat de FIFA voor elke stream dezelfde sleutel gebruikte. Hij kon de streams stoppen of wijzigen naar een eigen videofeed. Ook kon hij live tijdens de wedstrijd statistieken en feitjes voor commentatoren inzien en wijzigen.

Omdat de FIFA geen manier heeft om dit te rapporteren, heeft de beveiligingsonderzoeker onder meer de FBI benaderd. De kwetsbaarheid bleek een dag later verholpen en intussen hebben ongeautoriseerde gebruikers niet langer toegang om streams te stoppen of statistieken aan te passen. De FIFA heeft niet openbaar gereageerd op de zaak. Of kwaadwillenden hier misbruik van hebben gemaakt, is onbekend.

Reacties (74)

[FrostyPeet]

Ik vraag mij toch af hoe je als (bijvoorbeeld) FIFA het verschil moet zien tussen die stortvloed aan "security onderzoekers" en "hackers" die meteen van alles gaan "proben". Het lijkt wel of elk ding wat aan internet hangt meteen besprongen wordt.

[IrBaboon79]

"Het lijkt wel of elk ding wat aan internet hangt meteen besprongen wordt."

Zet eens een pakweg 5-10min een FTP of webserver open op je publieke IP en kijk hoeveel bezoek je krijgt

[Antiloop]

vroeger kreeg je dan ook meteen bij een snelle verbinding ongevraagd de nieuwste bioscoop films geupload die hier nog niet draaide

[IrBaboon79]

inderdaad - en ook van die 'tag' folders van scanners en fxp groepjes

Dat was nog eens service!

[The-Source]

Nou bij goede setup zouden beiden niet binnen moeten kunnen komen.

Maar bij een event waarbij je dus letterlijk in de wereldwijd uitgezonden streams content kon toevoegen, lijkt wellicht niet direct schadelijk. Maar wat als er nu een opruiing werd geplaatst. Dus je 'target' een land die net een tegendoelpunt etc etc.

Ik zou voor een event zo groot als dit toch wel iets beter verwachten.
(en dat zeg ik al iemand die 0,0 van de wedstrijden zal zien)

[david-v]

Het lijkt wel of elk ding wat aan internet hangt meteen besprongen wordt.

Het lijkt wel of

Zodra je bereikbaar bent wordt je gescand, al helemaal als je een bekend platform bent. Je uitganspunt moet dan ook zijn dat je aangevallen kan worden en dat mensen op zoek gaan naar zwakheden in je systemen. Doe je dat niet, dan ben je een prooi voor malware of ransomware. Het is niet voor niks dat je soms bot netwerken hebt met miljoenen apparaten waarvan de eigenaren van niks weten.

[MrMonkE]

Als je iets aan de buitenwereld hebt hangen zitten je logs dag in dag uit vol met scans en vage requests op zoek naar known exploits.

[avlt]

Welkom in de echte wereld. Zet je voordeur maar eens een nachtje open.

[Deleon78]

Ik weet niet wat je hiermee probeert te zeggen, maar dat kan vaak gewoon goed gaan. Online daarentegen...

[vrow]

Dat is makkelijk.

Van een onderzoeker krijg je netjes een mailtje met wat ze gevonden hebben, bij een (black hat) hacker worden er opeens héle andere dingen uitgezonden in plaats van het WK :-)

[wimdebok]

Zeg dat dat heb je al op je eigen servertje het merendeel is verkeer wat er niets heeft te zoeken, veel bots uitproberen, kwetsbaarheden zoeken of data. Dat internet is in veel opzichten doodziek en wat een verschil met in den beginne van het internet.

[SVMartin]

Euh.. 25 jaar geleden had ik aan mijn casema kabelmodem een ssh servertje hangen. Die werd ook al elke seconde gescand etc. Niet iets van de laatste jaren dus..

[wimdebok]

Daar heb je gelijk in zodra de mogelijkheden daar zijn probeert men wat, kenmerkend voor internet iedereen moet iets van iedereen. Nee dacht nog verder terug pre browser mail en usenet en ongetwijfeld waren er toen ook al kwaadwillenden.

[Dat_Doen_We_FF]

Als je een beetje een router hebt, GEO blocks helpen al heel veel.
Je host prive iets? Dan blokkeer je toch alle landen waar jij waar jij per ongeluk niet zomaar komt.
Dan hou je al heel veel tegen.

[wimdebok]

Dank voor de tip. Geo blocks die kende ik nog niet, nu staat de server niet thuis maar bij een vps boer maar ga eens kijken wat daar de mogelijkheden voor zijn op machine nivo.

Edit: gebruik firewalld en zie het kan, eens uitzoeken

[Reactie gewijzigd door wimdebok op 18 juni 2026 09:38]

[Dat_Doen_We_FF]

Je hebt geloof ik wel wat packages op linux die die info naar binnen harken. Ik host gewoon thuis in een afgezonderd vLAN en samen met mijn udr7 waar ik op kan geoblocken. Nu zie ik echt heel veel blocks op de udr7 gebasseerd op regio. Best grappig. Laatst zelfs Kim Jong Un die naar mijn nextcloud wilde.....

p.s. zorg wel dat jouw thuis IP dan gewhitelist wordt, straks zit er een foutje in je geoblock en kan je je vps niet op.

[Blokker_1999]

Wel miljoenen durven vragen voor een ticket in de finale, maar dan je videoplatform laten ontwikkelen door het neefje van lijkt het wel. Dit is toch amateurisme ten top? Dan mogen ze blij zijn dat iemand ermee naar buiten komt die nog goede bedoelingen heeft. Had een kwaadwillend iemand hier wat moeite in gestoken, dan hadden we 1 dezer dagen wereldwijd een leuke boodschap op TV kunnen zien.

[jongetje]

Dat staat toch los van elkaar wat een ticket in de vrije verkoop kosten tov de kwaliteit? Als je lid bent van de oranje vereniging kun je voor 60 a 70euro naar binnen.
Het is de NPO die er geen geld aan uit wil geven om het in 4k door te geven, de stream vanuit de FIFA is 4K.

[Reactie gewijzigd door jongetje op 16 juni 2026 09:19]

[Vinny_93]

De NPO wil er geen geld aan uitgeven? Als de NPO de streams van de FIFA echt in 4K zou krijgen, gaan ze dat alsnog downscalen voor bandbreedte want reguliere tv-programmering is over het algemeen in 1080i50 als het om sport gaat. Als je alleen al kijkt naar het verschil tussen NPO Start, de app van je TV-aanbieder of TV via zo'n TV-kastje is dat al een wereld van verschil. Ik dacht dat NPO Start een bitrate had van nog geen 3Mbps, een paar jaar geleden was het zelfs nog 576p.

De NPO steekt er geld zat in, ze overbieden commerciële zenders vaak met bijna 100% voor de rechten omdat ze vinden dat het hun juridische plicht is om voetbal uit te zenden (in de wet staat wel iets over dat wedstrijden van Nederland, Ajax, PSV en Feyenoord gratis te zien moeten zijn). Daarnaast hebben ze altijd een leger analisten, radiocommentaar tijdens de wedstrijden, ze sturen een leger journalisten naar het WK toe die mogen overnachten overal... Er gaat voldoende belastinggeld naar het WK, wees daar maar niet bang voor.

Ik zou liever zien dat je bij de FIFA zelf ook een abonnementje kon nemen voor een tientje of zo, zodat je de wedstrijden zonder reclames kon zien en zelf je commentator erbij kon kiezen. Ik ben op een bepaald moment maar eens bij onze Zuiderburen gaan kijken, die hebben amper reclame, lullen de hele rust vol en de beeldkwaliteit is ook nog eens hoger.

[jpfx]

Ik kijk helemaal geen voetbal (meer) vanwege al dat elkaar een kaart aannaaien, toneelspel bij de kleinste aanraking en slechte arbitrage. En vanuit dat oogpunt vindt ik dat veel te veel geld uitgeven aan voetbal in plaats van andere leuke programmas. Moet er bezuinigd worden? Kom dan vooral niet aan voetbal is het credo lijkt het.

[Kroesss]

Sorry hoor, maar het is sport he? Waarom zou dat in 4K moeten?

Bij films/series vind ik dat een ander verhaal, daar snap ik het. Maar bij sport kijk je toch niet omdat je de haren van Messi dan kan tellen? Daar gaat het om de sport, en dat is meer dan prima te bekijken en beleven in de kwaliteit waarin het uitgezonden wordt door de NPO.

[batjes]

Omdat je dan bij het overzicht uitgezoomde beeld, ook nog een beetje detail ziet? I.P.V. bewegende blobjes.

[TMT]

voetbal kijk ik niet, maar bij Formule 1 zijn de 4K streams van Sky gewoon zalig om naar te kijken. Veel meer detail.

Niets moet natuurlijk, we kunnen ook allemaal in 640*480 gamen

[KinGuiN]

Sorry hoor, maar het ene team loopt in een donker tenue en het ander in een licht tenue.. Waarom zou dat in kleur moeten??

[Dat_Doen_We_FF]

Het is de NPO die er geen geld aan uit wil geven

Gelukkig maar. De NPO geeft al genoeg geld uit, dat mag wel een tandje terug.

[Stukfruit]

Dit soort systemen zijn allemaal maatwerk en doorgaans niet bedoeld voor de consument, dus dat gaat wel eens samen met slechte beveiliging omdat er simpelweg niet zoveel middelen aan besteed worden.

Wat dat betreft is die vergelijking met het neefje niet eens zo'n slechte. Het zal niet de eerste keer zijn dat zo'n stukje software in elkaar wordt geknutseld door een stagiair

[Cyberpuppy]

Het probleem ligt in de praktijk toch iets genuanceerder. Stel jij monteert thuis nieuwe sloten. Vervolgens komt er niet 1 inbreker, maar zo'n beetje elke dief van over de hele wereld langs om dit slot eens te testen. Vervolgens ramt er iemand met een shovel door de voorgevel en daarna wordt je als bewoner aan de schandpaal genageld omdat je blijkbaar je beveiliging niet in orde hebt. Toegegeven. In dit geval was er niet eens een shovel nodig.

Je bent altijd maar een klein IT team tegenover heel veel tegenstanders. Die strijd ga je nooit winnen. En dat is niet altijd te wijten aan incompetentie of gebrek aan budget.

[Stukfruit]

Alleen clientside-checks uitvoeren is eigenlijk altijd te wijten aan incompetentie.

[batjes]

Zo'n beetje elke multiplayer game doet clients vertrouwen. Dus in die insteek is het van de FIFA geen rare gedachte.

[KinGuiN]

Nee, dat doen die games niet.. Daarom draait er anti-cheat, soms zelfs op kernel-niveau..

[batjes]

Die draait toch echt client side en wordt vertrouwt.

[Pietervs]

Je bent altijd maar een klein IT team tegenover heel veel tegenstanders.
Dat er altijd meer hackers dan beveiligers zijn ben ik met je eens.
Maar het is niet zo dat de FIFA geen budget heeft: alleen het prijzengeld en het solidariteitsfonds is samen al bijna 1 miljard euro.

Dan denk ik dat het niet zo moeilijk mag zijn om ook een goed bedrag op tafel te leggen om de beveiliging op orde te krijgen.

[Noxious]

Dit soort systemen zijn allemaal maatwerk en doorgaans niet bedoeld voor de consument, dus dat gaat wel eens samen met slechte beveiliging omdat er simpelweg niet zoveel middelen aan besteed worden.

Dat lijkt mij toch geen argument. Ik schrijf ook software toegespitst op enkele zakelijke klanten, maar daar gaan toch echt security reviews en pentests overheen.

Oh en als ik dan lees dat het al mis gaat bij de Entra ID SSO koppeling implementatie, dat klinkt niet best..

[Reactie gewijzigd door Noxious op 16 juni 2026 10:50]

[Stukfruit]

Wat jij doet is niet per se de gouden standaard
Was het maar zo'n feest!

[Noxious]

Vast niet, maar een organisatie als FIFA is niet de slagerij om de hoek; ze hebben hier zeker de middelen voor. Dit is gewoon mismanagement.

[Stukfruit]

Dit is gewoon mismanagement.

Dat is het inderdaad, maar dat was met Infantino aan het roer volgens mij al redelijk duidelijk.

Overigens besteedt FIFA dit werk trouwens uit aan onderpartijen, waardoor het een kwestie van budget en pushende topmannen wordt.

[ChrisvanChip]

Een server-side check op überhaupt rechten is in ieder geval wel de meest minimale standaard…

[Jumpman]

Dit is toch wel het meest zorgelijke: Beveiligingsonderzoeker BobDaHacker registreerde zich bij het FIFA Agent-platform, wat werkte zonder controle of hij echt voetbalagent was. De voordeur stond wagenwijd open.

[telenut]

En wat is daar juist zo extreem zorgelijk aan... Hij heeft niet plots toegang tot de medische fiches van de spelers toch.

[ChrisvanChip]

Het overnemen van streams met zo’n bereik (1-4 miljoen NLers?) voor een angst-, oproer-, of propagandacampagne lijkt me zorgelijker dan de medische info van een paar mensen. Ook al loopt je boodschap voor een korte tijd voordat het offline wordt gehaald, je haalt daarmee wel meteen de nieuwspagina’s en maatschappelijke onrust.

[telenut]

De huidige zenders zijn toch ook al angs-, oproer en propagandakanalen :-)
Oproer zou er wel zijn ja, omdat mensen plots geen voetbal meer zien...

[giocorry]

Wat ik vooral belachelijk vind is dat ik op de illegale streams een betere stream kwaliteit krijg als van de nos.

[Fermion]

Het beeld op de NOS was niet om aan te zien, zijn de streams wel in HDR?

[mikeyfire643]

Nee, Nederland mocht volgens een bepaalde regel geen hoge kwaliteit uitsturen. Anno 2026 kunnen we technisch alles, maar zitten we opgescheept met allerlei (onnodige) beperkingen.

https://www.totaaltv.nl/nieuws/Nieuws/wk-voetbal-2026-in-benelux-niet-in-4k-wie-is-er-verantwoordelijk/

[jongetje]

Ik vraag me serieus af of of een 4K beeld nu echt zoveel duurder is voor de NPO om door te sturen? Ze hoeven er niets aan te bewerken want de hele regie is in handen van de FIFA, ze hoeven er alleen de commentatoren onder te plakken. En ik kan me niet voorstellen dat er niet 1 studio geschikt is voor 4k doorgifte bij de NPO.

[smiba]

Ik vraag me serieus af of of een 4K beeld nu echt zoveel duurder is voor de NPO om door te sturen?

Tuurlijk is het een stuk duurder, veel apparatuur in hun video-chain is vast niet bedoeld voor 4K60 waardoor je een complete losse chain moet onderhouden. SDI-3G apparatuur is echt een factor 5 goedkoper dan SDI-12G apparatuur, dan wel niet nog meer.

Als het namelijk niet veel meer extra koste zouden ze het NPO UHD kanaal namelijk wel 24/7 aanbieden, en niet heel zelden maar.

[jongetje]

Als het in 2021 al kon, dan kan het 5 jaar later toch zeker?

https://www.skv.nl/experi...rt-wisselende-ervaringen/

[GigaHenk]

Je kijkt alleen naar technische aspect. De aanbieder ziet het natuurlijk als een Gold pakket. Dus daarvoor moet veel meer betaald worden.

[Martijn264]

Had ik ook. Via NPO start was het veel beter gek genoeg.

[Vinny_93]

Het hangt er heel erg van af waar je kijkt.

NPO Start: ~2.7Mbps 1080i50
TV via app (KPN/Odido): ~4-6Mbps 1080i50
TV via DVB-T2: ~6-8Mbps 1080p50
TV via kastje (KPN/Odido) 10-15Mbps 1080i50.

HDR/4K kun je wel vergeten bij TV, enkele commerciële zenders uitgezonderd.

[IrBaboon79]

Bitrates is niet alles. Wel nog even de codec erbij nemen - 'h264' (AVC-type codec) en 'h265' (of een dergelijke HEVC-type codec) 10-15mbit verschilt aanzienlijk...

15Mbit h265 kan je best een aardige '4K' stream in kwijt (geen UHD bluray bitrates natuurlijk)...

Het is natuurlijk ook erg afhankelijk van wat 'het kastje' kan... maar zou dat KPN/Odildo kastje h265 kunnen, dan stuurden ze dat wel; al was het maar omdat ze dan de rest ook met lagere bitrate konden uitsturen en geld konden sparen op bandbreedte...

[menn0]

BBC met VPN 4k HDR

[smiba]

Hoe keek je dit? Via de DVB-C (Ziggo) kwam het best wel redelijk binnen, rond de 10Mbps H264 1080i50 (net nog even gecheckt op de MPEG-TS recordings)

Had het liever UHD gezien natuurlijk, maar het was niet alsof de spelers lastig te volgen waren verder

[RVervuurt]

Off-topic, maar wat tof dat je "het WK Voetbal voor mannen 2026" schrijft @arnoudwokke!

[Ruben26]

In dit geval had ik geweten dat het om het wk voor mannen ging als "voor mannen" zou ontbreken, maar het komt regelmatig voor dat bijvoorbeeld NRC, NOS of NU er niet bij zeggen voor vrouwen als het om de reguliere Nederlandse competitie gaat. Dan ga ik naar dat nieuws kijken en zie ik dat het om de vrouwen ging, wat ik persoonlijk niet interessant vind. Dus het er bij vermelden dat het over vrouwen of mannen gaat, vind ik niet per se "inclusief willen doen", maar eerder praktisch zodat ik direct weet of ik dat nieuwsartikel interessant vind...

[Tielenaar]

Er is geen WK voor vrouwen dit jaar dus ik vind dat eerlijk gezegd een beetje inclusief doen om het inclusief doen.

[RVervuurt]

Dus omdat er dìt jaar geen vrouwen-WK is, is het niet nodig om te noemen dat het om een mannen-WK gaat? Hoeft bij een artikel over een vrouwen-WK dan ook niet genoemd te worden dat het om een vrouwen-WK gaat, of ga je dan in de comments miepen dat het om een vrouwen-WK gaat en niet een "gewoon" WK?

[Tielenaar]

Ligt eraan. En voordat je me beschuldigt van vrouwonvriendelijk zijn, het slaat gewoon nergens op om iets te benoemen om het benoemen, terwijl het niet nodig is. "Het WK" is op dit moment overduidelijk het WK dat nu bezig is, het WK van 2026 maakt het extra duidelijk. Het WK is in de volksmond altijd het WK voor mannen geweest, er is geen reden om dat nu, terwijl het nota bene bezig is, extra te benoemen. Ik vind dat gewoon ontzettend kinderachtig.

En ja, bij een artikel dat over het vrouwen WK gaat mag dat extra benoemd worden als dat uit de context niet duidelijk is, omdat men er nu eenmaal van uitgaat dat het om het mannen WK gaat. Het vrouwen WK is gewoon een soort van nieuw evenement met een eigen benaming om geen verwarring te krijgen met het standaard WK. Doe niet zo moeilijk.

[RVervuurt]

Dat men er standaard van uitgaat dat “Het WK” over mannenvoetbal gaat is JUIST een reden om het extra te benoemen, of het nou het mannen- of vrouwen-WK is. Hoezo zou het vrouwen-WK een andere naam nodig hebben als dat net zo goed een WK is als het mannen-WK?

[Tielenaar]

Omdat alles wat ik net heb uitgelegd, maar je wil gewoon heel graag politiek correct zijn zonder reden, dus laat maar.

Ik wens je heel veel succes met tegen je collega's zeggen dat je morgen naar een wedstrijd van het WK voor mannen gaat kijken. Iedereen zal je heel raar aankijken. Het voegt werkelijk niets toe.

[Reactie gewijzigd door Tielenaar op 16 juni 2026 21:05]

[RVervuurt]

Op mijn vraag "of ga je dan in de comments miepen dat het om een vrouwen-WK gaat en niet een "gewoon" WK?" kunnen we dus een volmondig "ja" roepen.

[Tielenaar]

Waarom zou ik dat doen?

Echt, gast..

[Blokker_1999]

Maar er zijn zovele andere WKs van andere sporten dit jaar.

[Tielenaar]

WK voetbal 2026 was dan voldoende geweest.

[Schway]

Alleen al WK was voldoende geweest.

Er is maar 1 WK waar iemand deze dagen aan denkt.

relevante xkcd

[Kroesss]

Ik moet zeggen dat ik er niet zo heel veel aan denk.

[William_H]

En dit artikel staat natuurlijk maar een paar weken online 🤡🤔

[Lapa]

Ik vind het in ieder geval beter dan wat de NOS soms doet (of deed?). Een kop als "Jansen wint de 300 meter " en dan zelfs in de tekst van het artikel soms geen enkele indicatie om welke sport het gaat, welk toernooi, of wat voor info dan ook die nuttig is voor iemand die toevallig nog niet weet in welke sport meneer of mevrouw Jansen de 300 meter snel kan afleggen

[Reactie gewijzigd door Lapa op 16 juni 2026 10:59]

[William_H]

Inderdaad. Bewust vaag gedoe. Wees gewoon duidelijk.

[Lord Anubis]

Tjonge, de streams zijn waarschijnlijk overgenomen, vandaar dat de wedstrijd Nederland met 1 - 1 geëindigd is. In het echt heeft Japan natuurlijk gewonnen met 2:0

[SPee]

Laatste half uur gemist? Of heb je die stream nog niet ontvangen? Het was uiteindelijk 2 - 2 ⚽️

[Lord Anubis]

Ik wist het, ik wist het, allemaal verschillende streaming.

[William_H]

Met de verkeerde hacker had er zomaar een scenario "Baby-TV" kunnen plaatsvinden.