🎯 Contexte

Cette évaluation de campagne a été publiée le 31 juillet 2026 par Vesal Security, assemblée via la plateforme Vesal AI. Elle documente une opération d’automatisation massive ciblant le système de billetterie de la FIFA World Cup 2026, active entre mai 2024 et juillet 2026.

📊 Chiffres clés de l’opération

  • 1 373 231 comptes FIFA créés par deux vendeurs d’automatisation (Firefly : 1 137 680 ; ConsolDes : 235 551)
  • 710 521 candidatures réussies aux tirages de billets FIFA (Firefly : 652 430 ; ConsolDes : 58 091)
  • 9 114 entrées confirmées par FIFA via emails (vue côté cible, via l’outil Gemini)
  • 1 740 issues positives : 1 676 gains de tirage + 64 émissions de billets, pour 14 opérateurs distincts

🛠️ Six vendeurs impliqués

Six vendeurs ont fourni des capacités liées à la Coupe du Monde :

Vendeur Capacité Première release
ConsolDes Création de comptes, boucle d’entrée, reset mot de passe 2024-09-02
Firefly Création de comptes, entrée aux tirages, promotions sponsors 2024-09-30
Ironwood Contournement anti-bot pour fifa.com (DataDome, Akamai) 2025-09-10
Palewater Contournement anti-bot pour fifa.com 2025-09-10
Hades Création de comptes (browser + requêtes) avec gestion Akamai 2025-11-03
Coalpit Création de comptes retail via prétexte Coupe du Monde 2026-07-07

📅 Chronologie de la campagne

La première release datée a été publiée 21 mois avant le tournoi (septembre 2024). Des modules pour les JO 2028, la Coupe du Monde de Rugby 2027 et l’US Masters ont été publiés avant même la fin de la campagne FIFA.

📈 Volume dépassant la billetterie FIFA

Les mêmes outils Firefly ont ciblé les promotions des co-sponsors à hauteur de 3 109 672 entrées (4x le volume FIFA), et les allocations d’une fédération membre européenne à 61 390 entrées.

💰 Marché secondaire

Les sélections et billets ont été revendus sur des forums, avec des valeurs déclarées par les opérateurs :

  • Sélection FIFA : 4 500–5 000 USD
  • Offre d’achat permanente : 1 000 USD par sélection
  • Billet catégorie 1 finale : 8 600 USD
  • Licence vendeur revendue : 7 000–10 000 USD

🔍 Taxonomie MITRE (adaptée)

L’activité a été classifiée selon une taxonomie inspirée de MITRE ATT&CK (VESAL-TA0042 Resource Development : 75 activités ; VESAL-TA0002 Execution : 61 ; etc.). Le développement de ressources et l’exécution représentent 55% de l’activité classifiée.

📄 Type d’article

Il s’agit d’une publication de recherche / évaluation de campagne CTI produite par Vesal Security, visant à documenter de manière structurée et sourcée une opération d’automatisation frauduleuse à grande échelle ciblant la billetterie FIFA.

🧠 TTPs et IOCs détectés

TTP

  • T1586.001 — Compromise Accounts: Social Media Accounts (Resource Development)
  • T1585.001 — Establish Accounts: Social Media Accounts (Resource Development)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1090 — Proxy (Defense Evasion)
  • T1114 — Email Collection (Collection)

Malware / Outils

  • Firefly (tool)
  • ConsolDes (tool)
  • Ironwood (tool)
  • Palewater (tool)
  • Hades (tool)
  • Gemini (tool)

🟡 Indice de vérification factuelle : 40/100 (moyenne)

  • ⬜ vesal.io — source non référencée (0pts)
  • ✅ 11526 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.vesal.io/resources/fifa-world-cup-26