WK 2026: meer dan een derde van officiële partners stelt publiek bloot aan risico van e-mailfraude

Cybercriminelen proberen regelmatig te profiteren van grote internationale sportevenementen door fans te benaderen met social engineeringscams. Hierbij doen ze zich voor als sponsors, luchtvaartmaatschappijen, horecabedrijven, bezorgdiensten of consumentenmerken, met behulp van op elkaar lijkende domeinnamen en vervalste e-mails. In de aanloop naar een toernooi - wat een enorme toename teweegbrengt in reizen, interesse in tickets, promoties en de verkoop van merchandise - moet het bredere ecosysteem worden versterkt tegen dreigingen via e-mail, de belangrijkste aanvalsroute voor fraude.   

Om een beeld te krijgen van de huidige stand van zaken op het gebied van cybersecurity tegen identiteitsfraude, heeft Proofpoint onderzocht in hoeverre Domain-based Message Authentication, Reporting and Conformance (DMARC) wordt toegepast op een reeks domeinen van WK-sponsors.   

DMARC als eerste verdediging tegen e-mailfraude 

De afgelopen jaren heeft Proofpoint geconstateerd dat cybercriminelen allerlei tactieken gebruiken om zich voor te doen als legitieme organisaties. Zo bereiken ze hun doelwitten, in plaats van de netwerken en technische infrastructuur van hun slachtoffers te hacken en te infiltreren. 

DMARC is een protocol voor e-mailverificatie dat is ontworpen om domeinnamen te beschermen tegen misbruik door cybercriminelen. Het controleert de identiteit van de afzender voordat een bericht zijn bestemming kan bereiken. DMARC kent drie securityniveaus: monitoring, quarantaine en afwijzing. Afwijzing is de veiligste manier om te voorkomen dat verdachte berichten in de inbox terechtkomen. 

Door DMARC te implementeren, kan een organisatie bepalen hoe e-mailberichten die van haar domein afkomstig zijn, behandeld moeten worden. Ook kijken ze welk beleid er moet worden toegepast als de verificatie mislukt: de e-mail accepteren (p=none, waarbij p hier staat voor beleid), het als spam classificeren (p=quarantine) of het verwijderen (p=reject). 

De belangrijkste bevindingen van het onderzoek:

De domeinnamen die deel uitmaken van het netwerk van sponsors, partners en leveranciers van het WK voetbal 2026 zijn geanalyseerd, met de volgende bevindingen: 

• Van de 25 geanalyseerde domeinen hebben er 24 (96%) een DMARC-record op basisniveau gepubliceerd, wat aangeeft dat de meeste organisaties zijn begonnen met het implementeren van securitymaatregelen tegen identiteitsfraude via e-maildomeinen. 
• Toch beschermt slechts 16 van de 25 domeinen (64%) hun domeinnaam actief met het strengste DMARC-beleid, namelijk de instelling ‘reject’, die voorkomt dat niet-geverifieerde, vervalste e-mails worden afgeleverd.
• Dit betekent dat meer dan een derde (36%) frauduleuze e-mails, die zich voordoen als hun merk, nog niet proactief blokkeert.
• Bij acht domeinen (32%) is DMARC ingesteld op de monitoring modus of een gedeeltelijke handhavingsstatus, wat wel inzicht biedt, maar niet voorkomt dat vervalste e-mails de inboxen bereiken.

“Grote evenementen, zoals het WK voetbal, zorgen voor een enorm enthousiasme wat gaat van reisplannen en kaartverkoop tot speciale aanbiedingen en fanartikelen”, zegt Matt Cooke, EMEA Cybersecurity Strategist bij Proofpoint. "Helaas biedt dat ook kansen voor oplichters om misbruik te maken van fans. Hoewel het bemoedigend is dat veel partnermerken maatregelen hebben genomen om hun e-mailsecurity te verbeteren, laten er nog steeds te veel de deur openstaan voor frauduleuze berichten. Zonder krachtigere cybersecurity wordt het voor criminelen makkelijker om zich voor te doen als een vertrouwd merk. Zo kunnen mensen worden misleid om persoonlijke gegevens te delen of betalingen te doen voor nepaanbiedingen.” 

Fans moeten in de aanloop naar het WK extra voorzichtig zijn. De volgende adviezen helpen daarbij: 

• De veiligste manier om tickets te kopen is rechtstreeks bij de FIFA, die een volledig DMARC-beleid hanteert waarbij e-mails worden geweigerd. 
• Wees alert voor ongevraagde e-mails, sms’jes of telefoontjes, vooral als daarin wordt aangedrongen op dringende actie of onmiddellijke betaling. 
• Deel nooit financiële gegevens of wachtwoorden via e-mail of sms. Neem bij twijfel via de officiële kanalen contact op met de organisatie. 
• Gebruik voor elk account een uniek wachtwoord en schakel waar mogelijk multifactorauthenticatie (MFA) in.
• Klik hier voor meer informatie over DMARC. 

Methodologie 

Om na te gaan in hoeverre DMARC wordt toegepast door de officiële sponsors van het WK voetbal 2026, heeft Proofpoint samen met Sports Business Journal een analyse uitgevoerd van de belangrijkste bedrijfsdomeinen van elke organisatie die op de website van de FIFA wordt vermeld. De FIFA hanteert een volledig DMARC-beleid waarbij e-mails worden geweigerd. De analyse vond plaats in februari 2026.