Jak zbudować bezpieczną infrastrukturę cyfrową w skali Mistrzostw Świata

Mistrzostwa Świata FIFA 2026 nie są podobne do żadnego innego wdrożenia cyfrowego, z którym mieli do czynienia zespoły bezpieczeństwa. Obejmują one 16 miast w trzech krajach, trzy różne jurysdykcje prawne i patchwork ekosystemów infrastruktury, które nie zostały zaprojektowane do współpracy. Ryzyko nie jest ograniczone do jednego miejsca czy systemu. Są one rozproszone w całym kontynencie połączonych usług cyfrowych.

Większość dużych systemów cyfrowych ma miesiące, czasem lata, na przygotowanie przed uruchomieniem. Infrastruktura zdarzeń otrzymuje tygodnie. A potem działa przed miliardem ludzi. To połączenie skompresowanych terminów, rozproszonej własności i globalnej widoczności nie jest przepisem na staranne planowanie bezpieczeństwa. To jest właśnie rodzaj środowiska, w którym cięcia są wykonywane, a atakujący wiedzą o tym.

To nie jest budowa zielonego pola

Błąd, który popełniają większość ludzi, myśląc o zabezpieczeniu wydarzenia takiego jak to, polega na wyobrażeniu sobie go jako czysty, zaprojektowany system. Nie jest to tak. Jest to istniejąca infrastruktura miasta, która została tymczasowo dostosowana do użytku turniejowego. Sieci stadionów łączą się z systemami dostawców, które łączą się z usługami komunalnymi, które łączą się z platformami sprzedaży biletów. Każdy szw jest potencjalnym punktem awaryjnym.

Duże wydarzenia sportowe tworzą środowiska o wysokim stopniu połączenia, w których infrastruktura stadionu, systemy transportowe, platformy sprzedaży biletów i usługi komunalne stają się ściśle powiązane, umożliwiając zakłócenia w jednym systemie na przeniesienie się do innych. To nie jest hipoteza. To jest to, co się stało na Zimowych Igrzyskach Olimpijskich w 2018 roku w Pjongczangu, gdzie atak ukierunkowany na dostawcę usług IT zakłócił systemy podczas ceremonii otwarcia.

Duże wydarzenia wymagają również, aby organizacje szybko wdrożyły nowych dostawców, uruchomiły nowe aplikacje, zwiększyły pojemność mobilną i połączyły systemy, które normalnie nie komunikują się ze sobą. Każda z tych integracji jest potencjalnym punktem wejścia. A testy bezpieczeństwa przeprowadzane na początku przygotowań często nie odzwierciedlają środowiska, które istnieje w momencie rozpoczęcia turnieju.

Trzy luki, które mają największe znaczenie

W całym krajobrazie zagrożeń dla tego wydarzenia wyróżniają się trzy obszary, które są systematycznie niedooceniane.

• Perimeter dostawców i tożsamości. Każde miasto-gospodarz opiera się na tymczasowych pracownikach, kontrahentach, wolontariuszach i rozszerzonych sieciach dostawców. Szybka eskalacja tworzy wewnętrzną lukę, niezależnie od tego, czy pochodzi ona z zaniedbania, złej higieny bezpieczeństwa czy celowego nadużycia. Kiedy nie można w pełni zweryfikować każdej osoby z dostępem, kontrola dostępu staje się ostatnią linią obrony i musi być traktowana jako taka od samego początku.
• Uwierzytelnianie skierowane do konsumentów. FBI ostrzega, że aktorzy zagrożeń aktywnie tworzą fałszywe strony internetowe FIFA, zaprojektowane do kradzieży poświadczeń, informacji o płatnościach i danych osobowych od fanów, i już zidentyfikowali dziesiątki domen malwersacyjnych podszywających się pod oficjalne własności Mistrzostw Świata. Badacze zauważyli, że ryzyko na platformach online pochodzi od wszystkiego, co prosi użytkowników o utworzenie konta, opłacenie opłaty, zalogowanie się za pomocą konta społecznościowego lub wprowadzenie danych osobowych. Celem jest zawsze to samo: kradzież poświadczeń, informacji o płatnościach i danych tożsamości. Ciężar rozróżniania bezpiecznych od fałszywych nie może spoczywać na użytkowniku. Musi spoczywać na platformach.
• Ślepa plamka łańcucha dostaw. Badanie Proofpoint wykazało, że 36 procent oficjalnych sponsorów, dostawców i partnerów Mistrzostw Świata nie przyjęło najwyższego poziomu kontroli uwierzytelniania e-mail. Oznacza to, że duża część zaufanego ekosystemu otaczającego to wydarzenie jest narażona na ataki spoofingowe i podszywanie się. Można zbudować system rdzenia kuloodpornego i nadal zostać naruszoną przez skompromitowane poświadczenia dostawcy cateringowego.

Pięć rzeczy, które zespoły bezpieczeństwa powinny zrobić natychmiast

Mistrzostwa Świata stanowią ekstremalną wersję problemu, który jest tak naprawdę powszechny: budowanie i zabezpieczanie infrastruktury cyfrowej szybko, pod presją, z niepełnymi informacjami. Te pięć zasad stosuje się niezależnie od tego, czy wspierasz globalne wydarzenie sportowe, czy też wypuszczasz produkt w następnym kwartale.

1. Zacznij od architektury tożsamości, a nie uwierzytelniania dodanego później. Zdefiniuj, kto ma dostęp do czego, zanim zostanie napisany pierwszy wiersz kodu. Przywilej powinien być domyślnym ograniczeniem. Za dużo zespołów traktuje uwierzytelnianie jako coś, co należy skonfigurować po zbudowaniu systemu, i wtedy strukturalne decyzje, które utrudniają kontrolę dostępu, są już wbudowane.
2. Traktuj każdą integrację zewnętrzną jako wektor zagrożenia, dopóki nie udowodni, że jest inaczej. Jedna zmiana trasowania, nowo udostępniony punkt końcowy API lub zmodyfikowana zasada zapory ogniowej może utworzyć luki, które są niewidoczne w normalnych warunkach pracy. Zmapuj każdą zależność w ekosystemie i przeszkodź ją z takim samym sceptycyzmem, jaki stosujesz do nieznanego systemu zewnętrznego.
3. Wymuszaj MFA wszędzie, w tym dla tymczasowych i sezonowych użytkowników, ale bądź świadomy rodzaju MFA, który wdrożysz. Standardowe jednorazowe kody i uwierzytelnianie oparte na SMS mogą być pokonane przez fałszywe strony Mistrzostw Świata, na których atakujący mogą przechwytywać kody w czasie rzeczywistym za pomocą przekonywującej strony phishingowej. Zamiast tego odporne na phishing MFA, takie jak passkey, zamyka tę lukę, ponieważ są one kryptograficznie powiązane z prawidłową domeną, w której zostały utworzone. Rodzaj MFA, który wybierasz, jest decyzją, która określa, czy Twoje uwierzytelnianie chroni użytkowników, czy tylko tworzy pozory czynienia tego. 
4. Zbuduj system, który degraduje się w sposób niezawodny, a nie tylko zapobiega naruszeniom. W tej skali coś zostanie naruszone. Prawdziwe pytanie brzmi, czy jeden skompromitowany komponent może przeniknąć do reszty systemu. Segmentacja technologii obiektów, technologii operacyjnych i systemów użyteczności od infrastruktury IT korporacyjnej jest różnicą między incydentem zawężonym a takim, który przerywa mecz transmitowany na całym świecie.
5. Ujednolic tożsamość klienta we wszystkich punktach kontaktu z fanami. Ktoś, kto kupuje bilet, nie powinien musieć tworzyć oddzielnych kont na oficjalnej stronie, aplikacji mobilnej i stronie afiliowanej. Poza tym, że tworzy to tarcie, fragmentaryzacja tożsamości jest problemem bezpieczeństwa, ponieważ każde dodatkowe konto utworzone przez fana jest kolejnym zestawem poświadczeń, które mogą być fałszowane, ponownie używane, ujawnione lub naruszone. Kiedy tożsamość jest odizolowana w systemach, nie ma również jednego miejsca, w którym można monitorować podejrzane zachowania lub egzekwować spójne zasady. Ujednolicony interfejs logowania nie jest tylko lepszy dla fana, ale także daje zespołom bezpieczeństwa jednolity widok tego, kto uzyskuje dostęp do czego, we wszystkich punktach kontaktu, w czasie rzeczywistym.  

Szersza lekcja

Większość organizacji nie będzie musiała stawić czoła wdrożeniu w skali Mistrzostw Świata. Ale podstawowe wyzwanie nie jest unikalne dla mega-wydarzeń. Każdy zespół, który szybko wdraża infrastrukturę, wdrożenie nowych dostawców lub skaluje produkt pod presją terminu, staje twarzą w twarz z tym samym podstawowym problemem: decyzje dotyczące bezpieczeństwa podejmowane szybko, z ograniczonymi informacjami, w warunkach, które ciągle się zmieniają.

Zespoły, które radzą sobie z tym dobrze, nie są tymi, które mają największe budżety. Są to te, które traktują bezpieczeństwo jako priorytet od samego początku, a nie jako punkt kontrolny na końcu. Mistrzostwa Świata to po prostu bardzo publiczne przypomnienie, co się dzieje, gdy stawka jest wysoka, a ta dyscyplina się załamuje.