Truffe della Coppa del Mondo FIFA 2026 sono attive: siti falsi e malware

      TL;DROver 4.300 domini FIFA falsi, malware bancario in app di streaming pirata e operazioni di phishing per il furto di credenziali stanno già prendendo di mira i fan della Coppa del Mondo 2026 in vista del calcio d'inizio dell'11 giugno. L'FBI, Group-IB, Fortinet e Kaspersky hanno tutti pubblicato avvisi.

      L'evento sportivo più sovrascritto della storia è anche il più soggetto a phishing. Con oltre 150 milioni di richieste di biglietti nei primi 15 giorni e solo sei milioni di posti disponibili in 16 città negli Stati Uniti, in Canada e in Messico, la Coppa del Mondo FIFA 2026 ha creato esattamente le condizioni su cui prospera la frode: scarsità, urgenza e denaro che si muove rapidamente.

      I ricercatori di sicurezza, l'FBI e diverse aziende di cybersicurezza hanno pubblicato avvisi nella scorsa settimana descrivendo un'infrastruttura fraudolenta già operativa, ben finanziata e in espansione. L'immagine che emerge non è quella di un pugno di pagine di phishing opportunistiche. Si tratta di un ecosistema stratificato di domini falsi, malware bancario, furto di credenziali e impersonificazione sui social media, tutti convergenti sulla stessa finestra.

      Un operatore, 300 siti FIFA clonati

      I risultati più dettagliati provengono da Group-IB, che ha tracciato oltre 4.300 domini FIFA fraudolenti registrati dal agosto 2025. Al centro c'è un gruppo che chiama Ghost Stadium, un'operazione di lingua cinese, motivata finanziariamente, che gestisce un unico kit di phishing su oltre 300 di quei siti.

      Il falso è buono. La pagina è una copia quasi perfetta di fifa.com, che imita il vero accesso single sign-on di FIFA, gestito da PingIdentity, fino all'autenticazione del client genuina copiata dal sito live. Carica immagini direttamente dai server di FIFA, quindi la pagina appare autentica e sfugge agli strumenti che segnalano asset copiati.

      Il danno è nei dettagli: il falso accesso chiede anche di reimpostare la password. Una volta che una vittima inserisce le credenziali, l'attaccante la esclude dal suo vero account FIFA e rivende eventuali biglietti ad esso collegati. La maggior parte del traffico proviene da annunci su Facebook con codici di tracciamento riutilizzati, oltre a link su Telegram, WhatsApp e nei risultati di ricerca. Le opzioni di pagamento includono l'inserimento della carta, app di trasferimento di denaro come Chime e Nequi, processori solo per il Messico e un'opzione crypto che converte i pagamenti con carta in criptovaluta. Quest'ultima è un indicatore affidabile, poiché il sistema di biglietteria ufficiale di FIFA non accetta mai criptovalute.

      13.000 domini e in aumento

      FortiGuard Labs ha contato oltre 13.000 domini a tema Coppa del Mondo registrati tra gennaio e maggio, circa l'8,8% dei quali classificati come dannosi o sospetti. L'annuncio di servizio pubblico dell'FBI elenca decine di domini FIFA falsi, da sosia con errori di ortografia a pagine di lavoro false, e avverte che ne arriveranno di più.

      La frode sui biglietti è solo un pezzo. Group-IB ha anche trovato negozi di merce contraffatta, siti di streaming falsi che richiedono una tassa di abbonamento e poi installano malware, e piattaforme di scommesse false che raccolgono scansioni di passaporti e selfie per il furto di identità. Bitdefender ha tracciato separatamente email della lotteria FIFA che promettono pagamenti fino a 2 milioni di dollari.

      Group-IB stima le perdite solo dalla frode sui biglietti premium e di ospitalità tra 71 milioni e 474 milioni di dollari, con la campagna più ampia che potrebbe raggiungere miliardi. Queste sono proiezioni basate su infrastrutture visibili, non su perdite confermate.

      Malware bancario in app di streaming

      Per i fan che inseguono streaming gratuiti delle partite, il pericolo maggiore è sul telefono. ThreatFabric ha osservato un picco nelle app di streaming non ufficiali dannose, molte delle quali si spacciano per la popolare RojaDirecta, intorno alla recente finale di Champions League e si aspetta una ripetizione durante la Coppa del Mondo su scala più ampia.

      Kaspersky ha collegato queste app a due famiglie di trojan bancari Android: Massiv e Perseus. Nessuno dei due è distribuito tramite Google Play, quindi installarne uno richiede di cliccare oltre gli avvisi integrati di Android. Una volta installato, il malware utilizza strumenti di accessibilità per sovrapporre schermate di accesso bancario false su app reali, registrare le battute, intercettare codici usa e getta da SMS e app di autenticazione e controllare lo schermo da remoto.

      Perseus, costruito su codice trapelato dal vecchio trojan Cerberus, legge persino le app per prendere appunti per le password salvate e le frasi di recupero crypto. Il segnale di allerta più semplice, secondo ThreatFabric, è un'app di streaming che richiede accesso all'accessibilità. Nessuna app di streaming legittima ne ha bisogno.

      Social media, credenziali rubate e Wi-Fi aperto

      Fortinet ha contato oltre 1.700 account FIFA falsificati, quasi il 90% su Facebook e Instagram, oltre a uno schema che utilizza annunci di lavoro FIFA falsi e inviti al calendario per reindirizzare i candidati a un accesso Google simile. Bitdefender ha trovato oltre 55 campagne pubblicitarie a tema calcistico su Facebook e Instagram che promuovono kit contraffatti, falsi adesivi Panini e pagine di phishing.

      Le credenziali di accesso FIFA rubate stanno già circolando. Fortinet ha trovato centinaia di migliaia di credenziali utente, oltre a più di 4.600 URL correlati a FIFA, nei dati raccolti da famiglie di malware per il furto di credenziali, tra cui Vidar, LummaC2 e RedLine.

      Il Wi-Fi delle città ospitanti è un problema a sé stante. Un sondaggio di Kaspersky che ha girato per Città del Messico, Monterrey e Guadalajara ha trovato il 10% al 12% delle reti aperte e senza password, con la funzione di accoppiamento WPS ancora attiva su quasi la metà. Entrambi lasciano aperture per hotspot "evil twin" che copiano una rete reale e intercettano silenziosamente il traffico.

      Cosa tenere d'occhio

      Le truffe lasciano segnali chiari. Acquista biglietti solo tramite fifa.com, digitati direttamente, non tramite un annuncio o un risultato di ricerca. Abilita l'autenticazione a più fattori e tratta qualsiasi venditore che richiede criptovaluta come una truffa. Su Android, rifiuta i permessi di accessibilità per le app di streaming. Su Wi-Fi aperto nelle città ospitanti, utilizza dati mobili per operazioni bancarie e email.

      Meta afferma di mostrare ora pop-up di avviso quando le persone cercano su Facebook biglietti FIFA e ha collaborato con Visa per rimuovere una rete Facebook collegata a siti di scommesse falsi sulla Coppa del Mondo. L'FBI sta chiedendo alle vittime di segnalare su IC3.

      La preoccupazione maggiore è ciò che non è ancora stato attivato. Group-IB ha contato circa 3.800 domini FIFA fraudolenti parcheggiati e inutilizzati, pronti a essere attivati. Con kit di truffa pronti all'uso e bot per l'acquisto di biglietti già in vendita, la finestra di picco è facile da prevedere: dall'11 giugno al 19 luglio, quando le ricerche di biglietti, streaming e viaggi saranno al loro massimo.