Token Twitch rubati via estensione: 31.000 account esposti
Socket ha confermato che l’estensione Twitch Enhanced Viewer | JeetBot ha inoltrato i token OAuth di circa 31.000 utenti a proxy controllati dall’operatore. Non si tratta più di un comportamento sospetto dell’add-on, ma di un furto attivo di credenziali bearer su account Twitch.
Il meccanismo è semplice e grave: l’estensione fa passare la richiesta video di Twitch attraverso il proprio proxy e ci aggancia il token dell’utente come parametro nell’URL. Quel token finisce nei log in chiaro e può essere riusato per chat, whisper e impostazioni dell’account senza password né 2FA.
Per chi usa estensioni che si mettono in mezzo al traffico di un servizio autenticato, il punto non è solo rimuovere il componente. Se il token è già stato copiato, la sessione resta utilizzabile finché token e sessioni non vengono revocati, e l’esposizione può sopravvivere alla disinstallazione dell’add-on.
Twitch extension with 30K installs exposes users’ OAuth tokens
A browser extension called Twitch Enhanced Viewer | JeetBot, available in the official Chrome and Firefox stores, sends users' Twitch OAuth session tokens to a commercial bot service.