Extensão Maliciosa no Twitch Expõe 30 Mil Tokens OAuth de Usuários

A exposição de 31.000 tokens OAuth de usuários do Twitch pela extensão "Twitch Enhanced Viewer | JeetBot" é um alerta severo sobre a confiança em extensões de navegador. Um token OAuth é uma credencial de acesso que, em mãos erradas, permite que o atacante atue como o usuário na plataforma, sem precisar de senha. No caso do Twitch, isso significa total controle sobre chat, mensagens privadas, configurações de conta e até a capacidade de gastar pontos de canal. A extensão, disfarçada de ferramenta para melhorias de qualidade de vida (como bloqueio de anúncios e streams em 1080p), usou essas funcionalidades como fachada para o roubo.

Esta não é uma ocorrência isolada no universo das extensões maliciosas. O CEVIU News já reportou incidentes semelhantes. Em 13 de agosto de 2026, a mesma empresa que descobriu esta vulnerabilidade, Socket, alertou sobre centenas de extensões VPN maliciosas no Chrome que direcionavam usuários russos. Em fevereiro de 2026, noticiamos que mais de 300 extensões maliciosas para Chrome vazaram e roubaram dados, e outras extensões se passavam por assistentes de IA para desviar informações sensíveis. Essa recorrência mostra a sofisticação e a persistência dos atacantes em usar extensões como vetor de entrada.

A evolução na tática da extensão "Twitch Enhanced Viewer | JeetBot" é um ponto crucial. As versões mais antigas (v4.x), lançadas até janeiro de 2026, coletavam e persistiam os tokens OAuth diretamente, enviando-os via requisições POST para endpoints específicos. Isso sugere que os operadores construíam um banco de dados de credenciais para uso futuro. Já as versões mais recentes (v85.x), a partir de maio de 2026, mudaram o método: agora, os tokens são enviados via proxy, como parâmetro de consulta em redirecionamentos. Embora diferente, o risco é o mesmo, pois o token ainda é exposto em texto claro nos logs do servidor proxy.

Essa mudança de tática indica uma adaptação dos atacantes. Eles pararam de coletar e armazenar diretamente para focar na utilização de sessões ativas. Essa manobra tenta evitar a detecção por métodos que procuram exfiltração de dados para bases de dados externas. O fato de os tokens serem omitidos apenas para uma lista específica de canais russos também reforça a natureza direcionada da operação, mostrando que a complexidade e os objetivos por trás desses ataques estão sempre em movimento.

Este incidente é um lembrete crítico de que extensões de navegador, mesmo as que prometem funcionalidades úteis, podem ser cavalos de Troia. O poder de um token OAuth para comprometer uma conta inteira, sem que o usuário precise fornecer senha ou 2FA, é assustador. A confiança depositada nas lojas de aplicativos dos navegadores é constantemente explorada por agentes maliciosos.

Para empresas e indivíduos, a lição é clara: a cibersegurança exige vigilância constante. A engenharia social por trás dessas extensões, que disfarça intenções maliciosas com promessas de melhoria da experiência, é altamente eficaz. É fundamental adotar práticas de segurança rigorosas, como verificar permissões de extensões, desconectar sessões suspeitas e reautenticar-se regularmente, para mitigar o risco de tais ataques.