Les supporters de la Coupe du Monde à la recherche de forfaits d’hospitalité officiels sont la cible de faux sites Web de type FIFA, conçus pour voler les identifiants de connexion, les détails de la carte et les codes de vérification bancaire.
Les pages sont dangereuses car elles ne ressemblent pas à des contrefaçons paresseuses. TrendLife rapporte que les chercheurs ont trouvé une copie convaincante du portail officiel d’hospitalité sur place de la FIFA avec une marque dupliquée, des badges d’équipe, des liens juridiques d’apparence réelle et un flux de paiement conçu pour ressembler à un achat de billet régulier.
Publicité
Le faux site demande d’abord aux fans de se connecter avec un e-mail et un mot de passe. La page TrendLife n’a aucune connexion avec le système de compte réel de la FIFA et permet aux utilisateurs de poursuivre ce qu’ils saisissent, signe qu’il existe un écran de connexion pour collecter les informations d’identification.
L’étape de paiement est un gros piège. Les chercheurs ont déclaré que la fausse page capture les détails de la carte en temps réel, puis demande à la victime de saisir un code de vérification bancaire après que les criminels ont tenté d’utiliser la carte volée ailleurs. Les éventails ressemblent à des confirmations de commande tandis que le code volé peut être utilisé pour autoriser des transactions non autorisées.
Un faux site imite une expérience d’achat FIFA crédible
Le véritable portail d’hospitalité de la Coupe du Monde de la FIFA 2026 indique que On Location est le seul fournisseur officiel d’hospitalité et que les forfaits d’hospitalité comprenant les billets sont vendus par l’intermédiaire d’On Location et d’agents de vente officiellement désignés. Même le site officiel d’hospitalité prévient que les forfaits et billets des chaînes non officielles peuvent ne pas être valables.
Publicité
TrendLife a signalé que la page de copie utilisait la marque FIFA et sur place, chargeait des actifs réels à partir de serveurs légitimes, était liée à de vrais comptes sociaux de la FIFA et affichait des documents juridiques d’apparence officielle.
TrendLife a déclaré que la fausse opération utilisait un domaine se terminant par “.shop”, tandis que l’hospitalité officielle de la FIFA redirigeait les fans via la propre présence Web de la FIFA.
Le FBI a déjà mis en garde contre les sites frauduleux de la FIFA
L’arnaque coïncide avec un avertissement généralisé du Centre de plaintes contre la criminalité sur Internet du FBI. Dans un message d’intérêt public du 27 mai, le FBI a averti que les cybercriminels usurpaient les sites Web de la FIFA pour collecter des informations personnelles, vendre de faux billets et produits d’accueil et soutenir d’autres activités malveillantes pendant la Coupe du monde 2026.
Publicité
Les domaines frauduleux peuvent utiliser des fautes d’orthographe, des terminaisons alternatives ou des noms à consonance officielle pour faire croire aux fans qu’ils se trouvent sur une véritable page de la FIFA, a déclaré le FBI. Le bureau a répertorié des exemples incluant de fausses pages de billets, des domaines de style FIFA et des pages liées à l’emploi.
Le code de paiement est un réel risque
Un exemple de TrendLife montre pourquoi une page de paiement soignée est plus dangereuse qu’un formulaire de phishing désordonné.
Un fan saisit les détails de la carte sur la page de paiement légitime. Les criminels reçoivent ces informations en temps réel, puis tentent une transaction distincte en utilisant les détails de la carte volée, ont indiqué les chercheurs.
Publicité
Lorsque la banque envoie un code de vérification par SMS, la fausse page de paiement demande aux fans de le saisir dans le cadre de l’achat d’hospitalité. Les criminels peuvent capturer ce code et l’utiliser pour effectuer une transaction non autorisée, a déclaré Trendlife.
Cette étape transforme la fonctionnalité de sécurité en transfert final. Le code protège le titulaire de la carte, mais si la victime le saisit sur une fausse page contrôlée par des criminels, cela peut autoriser un achat incorrect.
Les scandales de la Coupe du monde s’étendent au-delà d’une fausse page
FortiGuard Labs rapporte que l’infrastructure de cybercriminalité sur le thème de la Coupe du monde est déjà active. De janvier à mai 2026, les chercheurs ont découvert 13 000 nouveaux domaines sur le thème de la Coupe du Monde de la FIFA 2026, et grâce à l’analyse des modèles et aux activités frauduleuses, environ 8,8 % ont été identifiés comme malveillants ou suspects.
Publicité
Les faux sites de billetterie sont l’un des leurres à haut risque car ils exploitent la rareté, a indiqué la société. Les fans qui ne trouvent pas de billets officiels peuvent être poussés vers des pages de revente, des groupes de médias sociaux, des chaînes Telegram, des annonces de recherche et des vendeurs peer-to-peer.
FortiGuard Labs a identifié plus de 1 700 comptes et canaux d’usurpation d’identité suspectés d’être liés à la FIFA sur les réseaux sociaux et les plateformes de messagerie, dont près de 90 % ont été trouvés sur Facebook et Instagram.
Les fans devraient commencer par FIFA, pas rechercher des publicités
La Federal Trade Commission indique que les billets restants pour la Coupe du Monde sont disponibles via FIFA.com/tickets et l’application FIFA. Les billets de revente sont également disponibles sur le marché de la revente de la FIFA et sur certaines plateformes de revente tierces.
Publicité
La FTC avertit les fans de surveiller les sites Web copiés via les résultats de recherche payants ou les réseaux sociaux. Il indique que la plupart des billets seront distribués par voie électronique via l’application FIFA et que toute personne vendant un billet papier ou une capture d’écran ne délivre pas de billet légitime.
Les fans qui saisissent un mot de passe sur un site suspect de type FIFA doivent le changer immédiatement, surtout s’ils le réutilisent ailleurs. Toute personne ayant saisi les détails de sa carte ou un code de vérification bancaire doit contacter immédiatement l’émetteur de la carte ou la banque.
Le FBI demande aux victimes de signaler les sites Web frauduleux de la FIFA à IC3.gov, y compris les faux domaines, les détails de l’interaction, les informations de paiement, les dates, les montants, les numéros de compte et toute adresse de cryptomonnaie, le cas échéant.
