SECURITY·중요도 8·2026. 06. 18.·GeekNews
내 ID만 있으면 FIFA 월드컵 전체에 Rickroll을 틀 수 있었다
── KO ──────────────────
FIFA Agent Platform의 취약점으로 월드컵 방송에 접근할 수 있었던 사례.
FIFA Agent Platform의 가입으로 FIFA의 Microsoft Entra 테넌트에 접근할 수 있었던 사건이 발생했다. 이로 인해 2026 FIFA 월드컵을 운영하는 Football Data Platform과 방송 스트리밍 관리 기능까지 사용할 수 있었다. JWT의 NO_ROLES 상태를 프론트엔드만 확인하고, 백엔드 API에서 역할을 강제하지 않는 문제가 있던 것이 원인이다.
── EN ──────────────────
A breach in FIFA Agent Platform allowed access to World Cup broadcasts.
An incident occurred where joining the FIFA Agent Platform granted access to FIFA's Microsoft Entra tenant. This allowed interaction with the Football Data Platform and broadcast streaming management for the 2026 FIFA World Cup. The issue was due to the JWT's NO_ROLES state being validated only on the frontend, without backend enforcement of roles.