Hvordan bygge sikre digitale infrastrukturer på VM-skala

VM i fotball 2026 er ikke som noen digital utrulling de fleste sikkerhetsteam har håndtert før. Det omfatter 16 byer i tre land, tre forskjellige jurisdiksjoner og en patchwork av infrastrukturøkosystemer som aldri var ment å fungere sammen. Risikoen er ikke begrenset til ett enkelt stadion eller ett enkelt system. De er fordelt over hele kontinentet av sammenkoblede digitale tjenester.

De fleste store digitale systemer får måneder, noen ganger år, på forhånd før de settes i drift. Hendelsesdrevne infrastrukturer får uker. Og så kjører de foran en milliard mennesker. Den kombinasjonen av komprimerte tidsfrister, distribuert eierskap og global synlighet er ikke en oppskrift på forsiktig sikkerhetsplanlegging. Det er nettopp den type miljø hvor hjørner blir kutta og angripere vet det.

Dette er ikke en grønnfeltbygging

Feilen de fleste mennesker gjør når de tenker på å sikre en hendelse som denne, er å forestille seg det som et rent, formålbygget system. Det er det ikke. Det er eksisterende byinfrastruktur som har blitt midlertidig tilpasset for turneringsbruk. Stadionnettverk kobler seg til leverandørssystemer som kobler seg til kommunale tjenester som kobler seg til billettplattformer. Hver søm er et potensielt feilpunkt.

Store idrettsarrangementer skaper høyt sammenkoblede miljøer hvor stadioninfrastruktur, transportsystemer, billettplattformer og kommunale tjenester blir tett koblet sammen, og tillater forstyrrelser i ett system å skade andre. Det er ikke et hypotetisk scenario. Det skjedde under vinter-OL i Pyeongchang i 2018, der et målrettet angrep på en IT-tjenesteleverandør forstyrret systemer under åpningsseremonien.

Store arrangementer krever også at organisasjoner påtar seg nye leverandører raskt, spinner opp nye applikasjoner, utvider mobil kapasitet og kobler sammen systemer som vanligvis ikke snakker sammen. Hver av disse integrasjonene er et potensielt inngangspunkt. Og sikkerhetstesting utført i starten av forberedelsene reflekterer ofte ikke miljøet som faktisk eksisterer når turneringen begynner.

De tre gapene som betyr mest

Over trussellandskapet for denne hendelsen, står tre områder frem som konsekvent underbeskyttede.

• Leverandør- og identitetsperimeter. Hver vertsby er avhengig av midlertidig personale, underleverandører, frivillige og utvidede leverandørnettverk. Rask skaling skaper insider-sårbarhet, enten det kommer fra forsømmelse, dårlig sikkerhets hygiene eller bevisst misbruk. Når du ikke kan fullt ut verifisere alle med tilgang, blir tilgangskontrollene den siste forsvarslinjen, og de må behandles som sådan fra dag én.
• Forbrukerrettet autentisering. FBI har advart om at trusler aktører aktivt lager forfalskede FIFA-nettsteder designet til å stjele legitimasjon, betalingsinformasjon og personlige data fra fans, og har allerede identifisert dusinvis av skadelige domener som ligner offisielle VM-egenskaper. Forskere har notert at risikoen i nettbaserte plattformer kommer fra alt som ber brukerne om å opprette en konto, betale en avgift, logge inn med en sosial konto eller angi personlige data. Målet er alltid det samme: stjele legitimasjon, betalingsinformasjon og identitetsdata. Byrden med å skille trygg fra bedrageri kan ikke legges på brukeren. Det må legges på plattformene.
• Leverandørkjeden blindpunkt. En Proofpoint-undersøkelse fant at 36 prosent av offisielle VM-sponsorer, leverandører og partnere ikke har adoptert den høyeste nivået av e-postautentisering. Det betyr at en stor del av det betrodde økosystemet rundt denne hendelsen er utsatt for domene-forfalskning og impersoneringsangrep. Du kan bygge et skuddsikkert kjerne-system og likevel bli angrepet gjennom en catering-leverandørs kompromitterte innloggingsinformasjon.

Fem ting sikkerhetsteam må gjøre nå

VM presenterer en ekstrem versjon av et problem som faktisk er vanlig: bygging og sikring av digital infrastruktur raskt, under press, med ufullstendig informasjon. Disse fem prinsippene gjelder uansett om du støtter en global idrettsbegivenhet eller lanserer et produkt neste kvartal.

1. Start med identitetsarkitektur, ikke autentisering festet på senere. Definer hvem som får tilgang til hva før den første kodelinjen skrives. Privilegie bør være den default-begrensningen. For mange team behandler autentisering som noe som konfigureres etter at systemet er bygget, og da er de strukturelle beslutningene som gjør tilgangskontroll hardt allerede innbakt.
2. Behandle hver tredjeparts-integrasjon som en trusselvektor til den beviser motsatt. En enkelt ruteendring, en nytt åpen API-endepunkt eller en modifisert brannmurpolitikk kan skape sårbarheter som er usynlige under normale driftsforhold. Kartleg hver avhengighet i økosystemet og gransker det med samme skepsis du ville bruke på et ukjent eksternt system.
3. Gjennomfør MFA overalt, inkludert for midlertidige og sesongbaserte brukere, men vær bevisst på typen MFA du deployer. Standard en-gangs-koder og SMS-basert autentisering kan bli beseiret av falske VM-nettsteder hvor angripere kan intercepte koder i sanntid gjennom en overbevisende phishing-side. Alternativt, phishing-bestandig MFA, som passkeys, lukker denne gapen siden de er kryptografisk bundet til den legitime domenen hvor de ble opprettet. Typen MFA du velger er en kritisk beslutning som bestemmer om din autentisering beskytter brukerne eller bare skaper illusjonen av å gjøre det. 
4. Bygg for elegant degradering, ikke bare bruddforhindring. På denne skalaen, vil noe bli kompromittert. Det virkelige spørsmålet er om en kompromittert komponent kan skade resten av systemet. Segmentering av stadionteknologi, operasjonsteknologi og utility-systemer fra bedriftens IT-infrastruktur er forskjellen på et begrenset hendelse og ett som forstyrer en globalt kringkastet kamp.
5. Samordne kundeidentitet over hver enkelt fan-rettet berøringspunkt. Noen som kjøper en billett bør ikke måtte opprette separate konti over det offisielle nettstedet, mobilappen og en affiliate-nettsted. Utenom den friksjon det skaper, er fragmentert identitet et sikkerhetsproblem siden hver ekstra konto en fan oppretter er et sett med legitimasjon som kan bli phishet, gjenbrukt, avdekket eller kompromittert. Når identiteten er siloet over systemer, er det heller ingen enkelt plass å overvåke for mistenkelig atferd eller gjennomføre konsekvente politikker. En samordnet innloggingsopplevelse er ikke bare bedre for fansen, men gir også sikkerhetsteamene en enkelt visning av hvem som har tilgang til hva, over hver enkelt berøringspunkt, i sanntid.  

Den videre lærdom

De fleste organisasjoner vil aldri møte en utrulling på VM-skala. Men den underliggende utfordringen er ikke unik for mega-hendelser. Hvert team som spinner opp infrastruktur raskt, påtar seg nye leverandører eller skalerer et produkt under tidspress, møter det samme grunnleggende problemet: sikkerhetsbeslutninger tatt raskt, med begrenset informasjon, under forhold som stadig endrer seg.

Teamene som håndterer det godt, er ikke de med de største budsjettene. De er de som behandler sikkerhet som en prioritet fra begynnelsen, ikke som en sjekkboks på slutten. VM er bare en meget offentlig påminnelse om hva som skjer når innsatsen er høy og disiplinen bryter sammen.