Una extensión de Twitch con 30.000 usuarios enviaba en silencio sus tokens de sesión a un servicio ruso de bots
Treinta mil personas la instalaron para quitarse la publicidad de Twitch. También estaba enviando sus tokens de sesión a otra persona.
La extensión se llama Twitch Enhanced Viewer | JeetBot y lleva en la Chrome Web Store desde junio de 2025, con unos cientos de usuarios más en Firefox. En la superficie hace lo que los espectadores de Twitch realmente quieren: quita anuncios, fuerza el 1080p donde la calidad está limitada, recoge sola los puntos de canal. Los investigadores de Socket la desmontaron y encontraron el resto. Cada vez que veía usted un directo, el complemento tomaba su token de sesión OAuth de Twitch y lo enganchaba a una redirección como un simple parámetro &auth=, pasándolo por servidores proxy de un servicio comercial ruso de bots, donde acaba en texto claro en los registros de peticiones.
Ese token no es una contraseña. Desde el punto de vista de un atacante, es mejor que eso. Abre su chat, sus mensajes privados y los ajustes de su cuenta, y le da igual que tenga activada la verificación en dos pasos, porque esa ya la superó usted. Kush Pandya, de Socket, encontró un detalle más en el que conviene detenerse: diez canales en ruso estaban escritos en una lista de excepciones, de modo que verlos no filtraba nada. Alguien lo decidió a propósito.
El desarrollador, que se presenta como Aleksandr Popov, calificó todo esto de "un descuido" y ha publicado una versión para Firefox, la 85.8.7, sin el reenvío; una versión para Chrome espera revisión. Eso no arregla nada para quien ya se vio afectado, porque un token filtrado sigue siendo válido hasta que usted lo anule. Quite la extensión y después entre en los ajustes de Twitch y desconecte todas las sesiones antes de volver a iniciar sesión. Y si no tiene claro qué más se le ha colado en el navegador con los años, la comprobación de seguridad de Tendvane enumera las extensiones y los programas de inicio que encuentra, incluidos los que no recuerda haber aceptado.