Comment construire une infrastructure numérique sécurisée à l’échelle de la Coupe du monde

La Coupe du monde de la FIFA 2026 n’est pas comme la plupart des déploiements numériques que les équipes de sécurité ont affrontés auparavant. Elle s’étend sur 16 villes à travers trois pays, trois juridictions légales différentes et un patchwork d’écosystèmes d’infrastructure qui n’ont jamais été conçus pour fonctionner ensemble. Les risques ne sont pas contenus dans un seul lieu ou un seul système. Ils sont répartis sur tout un continent de services numériques interconnectés.

La plupart des grands systèmes numériques ont des mois, parfois des années, pour se préparer avant leur lancement. Les infrastructures liées à des événements ont des semaines. Et puis elles fonctionnent devant un milliard de personnes. Cette combinaison de délais compressés, de propriété distribuée et de visibilité mondiale n’est pas une recette pour une planification sécuritaire soigneuse. C’est exactement le type d’environnement où les angles sont coupés et où les attaquants le savent.

Ceci n’est pas un projet de construction verte

L’erreur que la plupart des gens font lorsqu’ils pensent à la sécurité d’un événement comme celui-ci est d’imaginer qu’il s’agit d’un système propre et construit à des fins spécifiques. Ce n’est pas le cas. Il s’agit d’infrastructures urbaines existantes qui ont été temporairement adaptées pour une utilisation lors du tournoi. Les réseaux de stade se connectent à des systèmes de fournisseurs qui se connectent à des services municipaux qui se connectent à des plateformes de billetterie. Chaque jointure est un point de défaillance potentiel.

Les grands événements sportifs créent des environnements fortement interconnectés où l’infrastructure du stade, les systèmes de transport, les plateformes de billetterie et les services municipaux deviennent étroitement liés, permettant aux perturbations dans un système de se propager aux autres. Ce n’est pas hypothétique. C’est ce qui s’est passé aux Jeux olympiques d’hiver de 2018 à Pyeongchang, où une attaque ciblée contre un fournisseur de services IT a perturbé les systèmes pendant la cérémonie d’ouverture.

Les grands événements nécessitent également aux organisations d’intégrer rapidement de nouveaux fournisseurs, de lancer de nouvelles applications, d’augmenter la capacité mobile et de connecter des systèmes qui ne communiquent normalement pas entre eux. Chacune de ces intégrations est un point d’entrée potentiel. Et les tests de sécurité effectués au début de la préparation ne reflètent souvent pas l’environnement qui existe réellement au moment du début du tournoi.

Les trois lacunes qui comptent le plus

À travers le paysage des menaces pour cet événement, trois domaines se démarquent comme étant systématiquement sous-protégés.

• La périphérie des fournisseurs et de l’identité. Chaque ville hôte compte sur du personnel temporaire, des contractuels, des bénévoles et des réseaux de fournisseurs élargis. La montée en puissance rapide crée une vulnérabilité interne, que cela provienne de la négligence, d’une mauvaise hygiène de sécurité ou d’une utilisation délibérée. Lorsque vous ne pouvez pas vérifier complètement tout le monde qui a accès, les contrôles d’accès deviennent la dernière ligne de défense, et ils doivent être traités comme tels dès le premier jour.
• L’authentification tournée vers le consommateur. Le FBI a averti que les acteurs menaçants créent activement des sites Web contrefaits de la FIFA conçus pour voler les informations d’identification, les informations de paiement et les données personnelles des fans, et a déjà identifié des dizaines de domaines malveillants se faisant passer pour des propriétés officielles de la Coupe du monde. Les chercheurs ont noté que le risque sur les plateformes en ligne vient de tout ce qui oblige les utilisateurs à créer un compte, à payer des frais, à se connecter avec un compte social ou à entrer des données personnelles. L’objectif, dans chaque cas, est le même : voler les informations d’identification, les informations de paiement et les données d’identité. La charge de distinguer le sûr du frauduleux ne peut pas reposer sur l’utilisateur. Elle doit reposer sur les plateformes.
• Le point aveugle de la chaîne d’approvisionnement. Une étude de Proofpoint a révélé que 36 pour cent des sponsors, des fournisseurs et des partenaires officiels de la Coupe du monde n’ont pas adopté le niveau le plus élevé de contrôles d’authentification des e-mails. Cela signifie qu’une grande partie de l’écosystème de confiance entourant cet événement est exposée à la contrefaçon de domaine et aux attaques d’usurpation d’identité. Vous pouvez construire un système de base solide et toujours être piraté par le biais des informations d’identification de connexion compromises d’un fournisseur de catering.

Cinq choses que les équipes de sécurité devraient faire dès maintenant

La Coupe du monde présente une version extrême d’un problème qui est en fait commun : construire et sécuriser l’infrastructure numérique rapidement, sous pression, avec des informations incomplètes. Ces cinq principes s’appliquent que vous souteniez un événement sportif mondial ou que vous lanciez un produit dans le prochain trimestre.

1. Commencez par l’architecture d’identité, et non par l’authentification ajoutée plus tard. Définissez qui a accès à quoi avant d’écrire la première ligne de code. Le privilège doit être la contrainte par défaut. Trop d’équipes traitent l’authentification comme quelque chose à configurer après que le système soit construit, et à ce moment-là, les décisions structurelles qui rendent le contrôle d’accès difficile sont déjà intégrées.
2. Traitez chaque intégration de tiers comme un vecteur de menace jusqu’à ce qu’elle prouve le contraire. Un seul changement de routage, un point de terminaison d’API nouvellement exposé ou une politique de pare-feu modifiée peut créer des vulnérabilités qui sont invisibles dans des conditions de fonctionnement normales. Cartographiez chaque dépendance dans l’écosystème et auditez-la avec le même scepticisme que vous appliqueriez à un système externe inconnu.
3. Enforcez l’authentification multifacteur partout, y compris pour les utilisateurs temporaires et saisonniers, mais soyez délibérés quant au type d’authentification multifacteur que vous déployez. Les codes à usage unique standard et l’authentification basée sur les SMS peuvent être vaincus par des sites de la Coupe du monde contrefaits où les attaquants peuvent intercepter les codes en temps réel par le biais d’une page de phishing convaincante. Alternativement, l’authentification multifacteur résistante au phishing, comme les passkeys, ferme cette faille puisqu’elles sont liées cryptographiquement au domaine légitime où elles ont été créées. Le type d’authentification multifacteur que vous choisissez est une décision critique qui détermine si votre authentification protège les utilisateurs ou ne fait que créer l’apparence de le faire.
4. Construisez pour une dégradation en douceur, et non seulement pour la prévention des failles. À cette échelle, quelque chose sera compromis. La vraie question est de savoir si un composant compromis peut se propager dans le reste du système. La segmentation de la technologie de lieu, de la technologie opérationnelle et des systèmes d’utilité par rapport à l’infrastructure IT d’entreprise fait la différence entre un incident contenu et un qui interrompt un match diffusé à l’échelle mondiale.
5. Unifiez l’identité client à travers chaque point de contact tourné vers le fan. Quelqu’un qui achète un billet ne devrait pas avoir à créer des comptes séparés sur le site officiel, l’application mobile et un site affilié. Au-delà de la friction qu’il crée, l’identité fragmentée est un problème de sécurité puisque chaque compte supplémentaire que le fan crée est un autre ensemble d’informations d’identification qui peuvent être phishées, réutilisées, exposées ou compromises. Lorsque l’identité est cloisonnée dans les systèmes, il n’y a pas non plus de lieu unique pour surveiller les comportements suspects ou appliquer des politiques cohérentes. Une expérience de connexion unifiée n’est pas seulement meilleure pour le fan, elle donne également aux équipes de sécurité une vue unique de qui accède à quoi, à travers chaque point de contact, en temps réel.

La leçon plus large

La plupart des organisations ne feront jamais face à un déploiement à l’échelle de la Coupe du monde. Mais le défi sous-jacent n’est pas unique aux mega-événements. Toute équipe qui met en place une infrastructure rapidement, intègre de nouveaux fournisseurs ou met au point un produit sous pression de temps, avec des informations limitées, sous des conditions qui continuent de changer, fait face au même problème fondamental : des décisions de sécurité prises rapidement, avec des informations limitées, dans des conditions qui continuent de changer.

Les équipes qui gèrent bien cela ne sont pas celles qui ont les budgets les plus importants. Ce sont celles qui traitent la sécurité comme une priorité dès le début, et non comme un élément de liste de contrôle à la fin. La Coupe du monde n’est qu’un rappel très public de ce qui se passe lorsque les enjeux sont élevés et que cette discipline se dégrade.