2026 FIFA Dünya Kupası'na aylar kala, siber güvenlik firması Group-IB, 4300'den fazla sahte domainin tespit edildiğini duyurdu. Ağustos ayından bu yana kaydedilen bu alan adları, FIFA'nın resmi web sitesini birebir taklit ederek taraftarları hedef alıyor. Analizler, altı farklı dolandırıcılık şeması ve dört bağımsız tehdit aktörünün aynı anda faaliyet gösterdiğini ortaya koydu. Domainlerin çoğu şu an pasif durumda, ancak turnuva yaklaştıkça aktif hale gelmeleri bekleniyor.
Operasyonun merkezinde, Group-IB tarafından 'Ghost Stadium' olarak izlenen bir aktör bulunuyor. Çoğunlukla Çince konuşan ve kâr odaklı olduğu belirtilen bu grup, 300'den fazla kimlik avı domainini yönetiyor. Bu domainler, fifa.com'un neredeyse kusursuz bir kopyasını oluşturmak için tek bir kit kullanıyor. Site, FIFA'nın PingIdentity tek oturum açma (SSO) akışını da taklit ederek, logoları ve ürün görsellerini doğrudan FIFA'nın resmi ağından çekiyor. Böylece görüntü eşleme tabanlı tespitlerden kaçınıyor. Kaynak kodunda bulunan Çince notlar ve 11 dil seçeneği (üç Çince varyantı dahil), geliştiricinin Çince konuşan biri olduğunu gösteriyor.
Ghost Stadium'ın ana dağıtım mekanizması, Facebook reklamları. Yüzlerce domain, aynı Meta reklam hesaplarına bağlı ortak izleme kodları kullanıyor. Group-IB, üç başka tehdit aktörü daha tespit etti: toplu domain çiftlikçisi, kimlik avı-hizmet-olarak (PhaaS) tedarik zinciri ve Vidar ile Lumma gibi bilgi hırsızı ailelerini kullanan geniş çaplı kampanyalar. Bu kampanyalar, karanlık ağ pazarlarında satılan yaklaşık 2500 FIFA giriş bilgisini ele geçirdi. Dolandırıcılar, fonları kripto para üzerinden aktararak geri alınamaz hale getiriyor. Group-IB, sadece premium ve hospitality bilet dolandırıcılığının 71 milyon ila 474 milyon dolar arasında kayba yol açabileceğini, tüm kampanyanın zararının ise milyarları bulabileceğini tahmin ediyor.
Nasıl Önlem Alınmalı?
FIFA taraftarları için en güvenli yol, sadece fifa.com üzerinden bilet satın almak, kripto para talep eden teklifleri görmezden gelmek ve çok faktörlü kimlik doğrulamayı (MFA) etkinleştirmek. Marka koruma ve dolandırıcılık ekiplerine ise pasif domainleri izlemeleri ve tek tek site kovalamak yerine kayıt şirketi düzeyinde kaldırma işlemleri yapmaları öneriliyor.
