悪質なTwitchエクステンション、3万1000人分のOAuthトークンを流出

Socketによると、悪質なTwitchブラウザ拡張機能が、約3万1000人分のライブOAuthセッショントークンを、ロシアの商用ボットサービスが運営するプロキシサーバーへ送信し続けていたことが明らかになりました。

クロスストア型のブラウザ拡張機能「Twitch Enhanced Viewer | JeetBot」は、Socketが9月11日に調査結果を公表した時点で、Chrome ウェブストアとFirefox Add-onsの両方で公開されており、Chrome版の利用者は約3万人、Firefox版は552人に上りました。

これらの掲載は、本稿執筆時点でもまだ公開されたままです。

エクステンションが本来必要としないトークン

この拡張機能は、広告ブロック、1080p画質の強制、地域制限の解除といった「快適な視聴体験」をうたうツールとして売り込まれています。こうした機能を実現するため、Twitchの動画プレイリストへのリクエストをJeetBotのプロキシサーバー経由でルーティングしていますが、Socketの調査により、そのリダイレクトの際にユーザーのOAuthトークンが一緒に送信されていることが判明しました。

OAuthトークンはURLのクエリパラメータとして付加されるため、プロキシ側のリクエストログには平文のまま記録されます。Socketによれば、これは再生用に限定された狭い権限のトークンではなく、アカウント全体に及ぶTwitchトークンであるとのことで、実際にこの拡張機能がTwitch自身の検証エンドポイントへも同じ値を送信していることを示して裏付けています。

この認証情報はベアラートークンであり、これを保持する者は誰でも、パスワードや二要素認証を必要とせずに、そのアカウントでのウィスパー(個別メッセージ)の閲覧・送信、チャットへの投稿、チャンネルポイントの使用が可能になってしまいます。

Socketが示した最も有力な悪意の証拠は、この拡張機能が本来そのトークンを必要としていないという点です。再生用トークンはすでに別途処理されており、さらにロシア語圏の配信者10チャンネル分のハードコードされたリストについては、アカウントトークンをまったく付与せずに同じプロキシ経由でトラフィックをルーティングしているのです。

悪質なブラウザ拡張機能についてさらに読む: 悪質なGoogle Chrome拡張機能、WorkdayとNetsuiteを乗っ取る

以前のビルドはトークンを保存していた

4.xバージョン系のビルドでは、さらに踏み込んだ処理が行われていました。Socketによると、2026年1月にリリースされたバージョン4.8は、取得したトークンをJeetBotのインフラ上にある専用のset-tokenエンドポイントへ送信しており、2つのDenoサービス上にバックアップも保持していました。

これらのビルドは直近に送信したトークンを記録し、5秒間のクールダウンを設けていました。Socketは、これは受信側のサーバーがトークンを保存していた場合にのみ意味を持つ挙動だと指摘しています。コード内にはロシア語のコメントがあり、トークン送信が失敗した場合には黙って処理を続けるよう指示されていました。

これらのset-tokenエンドポイントは後のビルドでは姿を消しており、Socketは、4月時点のバージョン番号7.2.6から、インラインでの転送処理が現れた5月には85.2.2へと急激に飛んでいたことを指摘しています。

こうした事実は一切開示されていません。Chrome ウェブストアのデータセーフティ欄には、開発者がユーザーデータを収集・利用することはなく、第三者への販売も行わないと記載されており、リンク先のプライバシーポリシーにも、この拡張機能はユーザーデータを収集・保存・処理しないと明記されています。

Socketはユーザーに対し、この拡張機能を削除したうえで、Twitchのアカウント設定からすべてのセッションを切断し、再認証を行うよう呼びかけています。これにより、転送済みのトークンは無効化されます。さらにセキュリティチームに対しては、認証済みサービスへのホスト権限を持つブラウザ拡張機能が、第三者のプロキシ送信先と組み合わさっている場合、それを認証情報流出のリスクとして扱うよう求めています。

Google、Mozilla、Twitchにはコメントを求めています。回答があり次第、本記事を更新します。