Extensión maliciosa de Twitch filtró tokens OAuth de casi 31,000 usuarios
Investigadores de seguridad descubrieron que una extensión de navegador llamada "Twitch Enhanced Viewer | JeetBot", promocionada como una forma de ver transmisiones en 1080p y desbloquear contenido restringido por región, interceptaba en segundo plano los tokens OAuth de sesión de sus usuarios y los reenviaba a servidores proxy controlados por el desarrollador. La extensión estuvo disponible en las tiendas oficiales de Chrome Web Store desde junio de 2025 y de Firefox Add-ons desde julio de 2025, acumulando cerca de 30,000 instalaciones en Chrome y 604 en Firefox.
Según el análisis, las versiones actuales de la extensión reenvían el token directamente como parámetro `&auth=` en una redirección a nivel de red hacia la infraestructura del atacante, donde queda registrado en texto plano en los logs del servidor proxy. Versiones anteriores (v4.x) hacían un envío más directo mediante solicitudes POST a un endpoint dedicado, con respaldo en servicios de hosting como deno.dev y deno.net. Llamativamente, se identificaron 10 canales rusos específicamente excluidos de este mecanismo de robo de tokens.
Un token OAuth de Twitch comprometido no es un dato menor: permite acceso al chat, a los mensajes privados (whispers), a la configuración de la cuenta y a los canales de puntos del usuario, es decir, prácticamente el mismo nivel de control que tendría el propio usuario autenticado. Y un detalle importante que suele pasarse por alto: desactivar o desinstalar la extensión no revoca los tokens que ya fueron transmitidos — la revocación tiene que hacerse manualmente desde la configuración de seguridad de la cuenta de Twitch.
Este caso es un recordatorio de un riesgo que muchas organizaciones subestiman: las extensiones de navegador operan con permisos amplios y rara vez pasan por un proceso de aprobación de seguridad interno, incluso en equipos que sí controlan qué software se instala en los equipos corporativos. En Axentia recomendamos mantener un inventario de extensiones permitidas por política, revisar periódicamente qué extensiones tienen instaladas los usuarios con acceso a sistemas sensibles, y tratar cualquier token OAuth robado como una credencial comprometida que requiere revocación inmediata, no solo la eliminación del software que lo filtró.
