La finale de la Coupe du monde 2026 s'est tenue le 19 juillet au MetLife Stadium, dans le New Jersey. Pour le public, le tournoi s'est déroulé sans interruption visible. Pour les équipes de sécurité, un autre match durait depuis des mois. La FIFA affirme avoir bloqué plus d'un milliard de menaces informatiques : le chiffre est spectaculaire, mais que dit-il vraiment ? Cet article croise les annonces de la FIFA avec les sources indépendantes (FBI, Centre canadien pour la cybersécurité, chercheurs, ANSSI) pour comprendre ce qui a été observé, ce qui a été évité, et ce qu'on ignore encore.
À retenir : « avoir évité les cyberattaques » est une formule trop forte. Les données disponibles montrent surtout que l'événement a absorbé une masse d'attaques automatisées et de fraudes, sans qu'un incident opérationnel majeur ait été rendu public dans les sources que j'ai consultées.
Les chiffres annoncés par la FIFA
Selon les chiffres relayés par la presse spécialisée et présentés comme des déclarations de la FIFA :
| Indicateur | Valeur annoncée |
|---|---|
| Menaces informatiques bloquées | Plus d'un milliard |
| Domaines malveillants identifiés et neutralisés | Plus de 11 000 |
| Sites et plateformes numériques protégés | 1 015 |
| Données de sécurité analysées | Plus de 304 téraoctets |
| Fibre optique déployée | 161 000 kilomètres |
| Équipements réseau | 4 000 |
| Points de distribution vidéo | 10 000 |
| Réseau 5G privé | Les 16 stades |
| Données transportées | 13 pétaoctets |
Ces chiffres proviennent de la FIFA, sans vérification indépendante ni méthodologie détaillée dans les sources consultées. Je n'ai pas retrouvé le communiqué d'origine : les chiffres ci-dessus sont ceux repris par la presse.
Comment lire « un milliard d'attaques »
Le nombre ne signifie pas qu'un milliard de pirates ont tenté d'entrer. Dans un centre de sécurité, un compteur de ce type additionne généralement des requêtes malveillantes, des balayages automatisés, du trafic de robots, des tentatives de connexion et des connexions suspectes, souvent répétées par la même infrastructure. La FIFA parle d'ailleurs de « menaces » (cyber threats) plutôt que d'attaques ciblées.
Un point de comparaison utile : pour les Jeux de Paris 2024, l'ANSSI a recensé 548 événements de cybersécurité liés à l'organisation entre le 8 mai et le 8 septembre 2024. Parmi eux, 465 étaient des signalements à faible impact et 83 des incidents, c'est-à-dire des cas où un acteur malveillant avait réellement agi sur un système. Près de la moitié étaient des indisponibilités, dont un quart dues à des attaques par déni de service (DDoS). L'ANSSI qualifiait ce bilan de « limité ».
Les deux chiffres ne mesurent pas la même chose : l'un compte le bruit filtré, l'autre les événements qualifiés et remontés à une agence nationale. Le plus parlant reste le nombre d'incidents qui ont réellement eu un effet.
Une surface d'attaque immense
Selon l'analyse de Unit 42 (Palo Alto Networks), le tournoi couvre 16 villes dans trois pays, 104 matchs sur 39 jours. Les réseaux des stades sont des infrastructures temporaires greffées sur des installations existantes, à côté de services municipaux (eau, énergie, transports, aéroports), de sous-traitants indépendants (hôtellerie, sécurité, connectivité) et de systèmes destinés au public : applications officielles, billetterie, accréditations.
Il n'est donc pas nécessaire de « pirater le stade » pour perturber l'événement : l'indisponibilité d'un service périphérique peut créer des images et des files d'attente aussi visibles.
Ce que les autorités attendaient
Le Centre canadien pour la cybersécurité avait évalué les menaces en probabilités :
- cybercriminels : ils exploiteraient « presque certainement » l'événement (90 à 99 %) ;
- hacktivistes : attaques DDoS et défigurations « très probables » (75 à 89 %) ;
- acteurs étatiques : environ une chance sur deux de mener des attaques perturbatrices, liées à des tensions géopolitiques (40 à 59 %) ;
- désinformation : usage de contenus générés par IA « presque certain ».
Il anticipait aussi des rançongiciels visant les voyages, l'hôtellerie et les infrastructures, des DDoS contre la billetterie et la diffusion, et des vols de données chez les hôtels, compagnies aériennes et plateformes de réservation.
Ce qui a effectivement été observé : une industrie de la fraude
Les preuves publiques portent surtout sur la fraude visant les spectateurs, pas sur une attaque spectaculaire contre le tournoi.
- Faux sites de la FIFA. Dans une alerte du 27 mai 2026, le FBI a signalé des usurpations du site de la FIFA par faute de frappe (« fiffa.com »), par extensions différentes (.click, .xyz) et par faux sous-domaines imitant des portails d'emploi ou de billetterie. Plus de quarante domaines étaient listés. Il conseille de saisir directement l'adresse officielle et d'éviter les résultats sponsorisés.
- Un volume de domaines élevé. Plusieurs éditeurs de sécurité, cités par la presse spécialisée, ont compté plus de 10 000 à 19 000 domaines liés à la FIFA créés depuis janvier, dont une part significative jugée suspecte ou malveillante. Les décomptes varient selon les méthodes.
- Des outils de fraude professionnels. CloudSEK décrit une opération de billetterie frauduleuse « multi-locataires », avec un outil d'hameçonnage en temps réel capable de relayer les codes à usage unique vers les vrais sites de paiement, de capturer numéros de carte, dates d'expiration et cryptogrammes, et exploitant au moins quinze instances distinctes. Il ne s'agit plus d'escrocs isolés, mais de plateformes administrées comme des services.
Ces attaques visent la confiance des spectateurs : un billet, un compte, une adresse e-mail et un moyen de paiement sont des données précieuses, qui peuvent être conservées et revendues plus tard.
Le précédent d'Olympic Destroyer
Le cas de référence pour les organisateurs date de 2018. Lors de la cérémonie d'ouverture des Jeux d'hiver de Pyeongchang, un logiciel destructeur nommé Olympic Destroyer a perturbé l'infrastructure informatique de l'événement. Il contenait de faux indices techniques destinés à détourner l'attribution vers d'autres groupes. Kaspersky l'a rattaché au groupe Sandworm, d'origine présumée russe, et le département américain de la Justice a ensuite inculpé, en octobre 2020, des officiers du renseignement militaire russe pour des attaques incluant celle-ci, selon la synthèse du CCDCOE.
C'est ce scénario, une panne qui frappe au pire moment, que les organisateurs redoutent. Les sources consultées n'en signalent pas d'équivalent en 2026.
Ce que l'on ne sait pas
- La méthodologie du milliard : la FIFA n'a pas détaillé ce qu'elle compte.
- Les incidents réels : aucun bilan public indépendant, équivalent à celui de l'ANSSI pour Paris 2024, n'a été trouvé pour le tournoi.
- Les mesures appliquées : Unit 42 recommandait par exemple un centre de cyberopérations unifié sur le modèle de Paris 2024, l'audit des systèmes industriels exposés, une capacité de filtrage anti-DDoS renforcée, des procédures de repli hors ligne et une authentification résistante à l'hameçonnage pour les dirigeants. Ce sont des recommandations, pas une description de ce que la FIFA a fait.
Ce qu'il faut en retenir
Le tournoi montre trois réalités du risque cyber lié aux grands événements :
- Le premier vecteur reste l'humain et la confiance, via les faux sites, les fausses offres et les faux billets.
- La périphérie compte autant que le cœur : prestataires, hôtels, transports et services publics font partie de la surface d'attaque.
- Le bon indicateur n'est pas le nombre d'attaques bloquées, mais l'absence d'impact opérationnel, et la transparence sur la façon de la mesurer.
Pour vous protéger lors d'un prochain événement, saisissez l'adresse officielle plutôt que de cliquer sur une annonce, vérifiez le nom de domaine avec l'outil OSINT sur domaine de ForenShield, et décodez les liens de messagerie protégés avec le décodeur SafeLink. Notre guide sur l'analyse d'un e-mail de phishing explique comment repérer un message piégé.
Sources
- Convergence Now : les chiffres de la FIFA pour la Coupe du monde 2026
- FBI IC3 : usurpation des sites de la FIFA avant la Coupe du monde 2026
- Centre canadien pour la cybersécurité : bulletin sur la menace, Coupe du monde 2026
- Unit 42 : surface d'attaque de la Coupe du monde 2026
- CloudSEK : acteurs d'origine chinoise ciblant la Coupe du monde 2026
- Help Net Security : domaines liés à la FIFA
- ANSSI : bilan cyber des Jeux de Paris 2024
- CCDCOE : Olympic Destroyer (2018)
- Wikipédia : finale de la Coupe du monde 2026