Un'estensione per browser di Twitch, scaricata da decine di migliaia di utenti, è stata scoperta a esfiltrare token di sessione OAuth, consentendo potenzialmente l'accesso non autorizzato agli account.
Una estensione per browser di Twitch, nota come "Twitch Enhanced Viewer | JeetBot", è stata identificata come veicolo per il furto di token di sessione OAuth da circa 31.000 utenti. La scoperta, resa pubblica da Socket, evidenzia un rischio significativo per la sicurezza degli account degli streamer e degli spettatori sulla popolare piattaforma di streaming.
L'estensione, disponibile sia sul Chrome Web Store che sul Firefox Add-ons, si presentava agli utenti come uno strumento per migliorare l'esperienza di visione, offrendo funzionalità come il blocco degli annunci, la forzatura della risoluzione 1080p e lo sblocco di contenuti regionali. Per fornire questi servizi, l'estensione reindirizzava le richieste di playlist video di Twitch attraverso server proxy gestiti dal servizio "JeetBot", che secondo le indagini di Socket è legato a un servizio commerciale di bot russi.
Il meccanismo di furto sfruttava il fatto che il token OAuth dell'utente veniva allegato come parametro nell'URL delle richieste inoltrate ai server proxy. Questo significava che il token, un identificatore sensibile che permette l'accesso all'account senza necessità di password o autenticazione a due fattori, veniva trasmesso in chiaro testo e registrato nei log dei proxy. Socket ha confermato che si trattava del token di sessione dell'account, e non di un token di riproduzione più limitato, dimostrando che l'estensione inviava lo stesso valore agli endpoint di validazione di Twitch.
Il possesso di questo token conferisce poteri significativi, tra cui la possibilità di leggere e inviare messaggi privati (whispers), pubblicare chat e utilizzare i punti del canale, tutto senza richiedere credenziali aggiuntive. La gravità della situazione è ulteriormente accentuata dal fatto che, secondo Socket, l'estensione non necessita del token OAuth per svolgere le sue funzioni dichiarate. L'estensione gestisce già separatamente il token di riproduzione e, per un elenco predefinito di canali di streamer di lingua russa, reindirizza il traffico attraverso lo stesso proxy senza allegare alcun token dell'account.
Le versioni precedenti dell'estensione (dalla 4.x in poi) implementavano un meccanismo ancora più diretto per la raccolta dei token. In particolare, la versione 4.8, risalente a gennaio 2026 (data errata nell'articolo originale, presumibilmente intesa come 2024), inviava i token catturati a un endpoint dedicato ("set-token") sull'infrastruttura di JeetBot, con backup su due servizi Deno. Socket ha osservato che queste versioni includevano anche un meccanismo per tracciare l'ultimo token inviato e applicare un intervallo di cinque secondi, suggerendo che il server ricevente stesse attivamente memorizzando i token. Commenti in lingua russa nel codice indicavano all'estensione di fallire silenziosamente in caso di mancato invio del token.
Le versioni più recenti hanno rimosso gli endpoint "set-token" diretti, ma hanno introdotto il meccanismo di inoltro in linea dei token. Socket ha notato un salto nel numero di versione da 7.2.6 ad aprile a 85.2.2 a maggio, coincidente con l'apparizione di questa nuova tecnica.
Nessuna di queste attività malevole è stata divulgata agli utenti. La sezione "Sicurezza dei dati" sul Chrome Web Store dichiarava che lo sviluppatore non avrebbe raccolto né utilizzato dati degli utenti, né li avrebbe venduti a terzi. La politica sulla privacy collegata affermava esplicitamente che l'estensione non raccoglieva, memorizzava o elaborava alcun dato utente.
Socket ha raccomandato agli utenti di rimuovere immediatamente l'estensione, disconnettere tutte le sessioni attive dalle impostazioni dell'account Twitch e procedere a una nuova autenticazione. Questo processo invalida qualsiasi token precedentemente esfiltrato. Per i team di sicurezza, l'avviso è stato chiaro: le estensioni per browser che richiedono permessi estesi su servizi autenticati e che inoltrano dati a destinazioni di terze parti devono essere considerate un rischio di esposizione delle credenziali.
In risposta alle segnalazioni, Twitch ha confermato tramite un post su X di essere "consapevole delle segnalazioni riguardanti un'estensione di terze parti per browser potenzialmente in grado di compromettere la sicurezza dell'account" e ha fornito raccomandazioni di sicurezza ai propri clienti. Anche Google e Mozilla sono state contattate per un commento.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
