Une extension Twitch suivie par 30 000 utilisateurs envoyait discrètement leurs jetons de connexion à un service de bots russe
Trente mille personnes l'ont installée pour se débarrasser des publicités Twitch. Elle expédiait aussi leurs jetons de connexion à quelqu'un d'autre.
L'extension s'appelle Twitch Enhanced Viewer | JeetBot et elle figure sur le Chrome Web Store depuis juin 2025, avec quelques centaines d'utilisateurs supplémentaires sur Firefox. En apparence, elle fait ce que les spectateurs de Twitch veulent vraiment : supprimer les publicités, forcer le 1080p là où la qualité est bridée, récolter les points de chaîne toute seule. Les chercheurs de Socket l'ont démontée et ont trouvé le reste. À chaque flux regardé, l'extension récupérait votre jeton de session OAuth Twitch et l'accrochait à une redirection sous la forme d'un simple paramètre &auth=, en le faisant transiter par des serveurs proxy appartenant à un service commercial de bots russe, où il atterrit en clair dans les journaux de requêtes.
Ce jeton n'est pas un mot de passe. Du point de vue d'un attaquant, il vaut mieux que ça. Il ouvre votre chat, vos messages privés et les paramètres de votre compte, et il se moque de savoir si vous avez activé la double authentification, puisque vous l'avez déjà franchie. Kush Pandya, de Socket, a relevé un détail qui mérite qu'on s'y attarde : dix chaînes russophones étaient inscrites dans une liste d'exemption, si bien que les regarder ne fuitait rien. Quelqu'un a fait ce choix délibérément.
Le développeur, qui se présente sous le nom d'Aleksandr Popov, a qualifié l'ensemble de "négligence" et a publié une version Firefox, la 85.8.7, débarrassée de la transmission ; une version Chrome attend sa validation. Cela ne répare rien pour les personnes déjà touchées, car un jeton qui a fuité reste valable tant que vous ne l'invalidez pas. Supprimez l'extension, puis ouvrez les paramètres Twitch et déconnectez toutes les sessions avant de vous reconnecter. Et si vous ne savez plus très bien ce qui s'est glissé dans votre navigateur au fil des ans, le contrôle de sécurité de Tendvane liste les extensions et les programmes au démarrage qu'il trouve, y compris ceux que vous n'avez pas souvenir d'avoir acceptés.