悪意あるTwitchエクステンションが3万1000人分のOAuthトークンを流出

Socketによると、悪意のあるTwitchブラウザ拡張機能が、約3万1000人のユーザーのライブOAuthセッショントークンを、ロシアの商用ボットサービスが運営するプロキシサーバーに転送していたことが明らかになりました。

クロスストア型のブラウザ拡張機能「Twitch Enhanced Viewer | JeetBot」は、SocketがChrome Web StoreとFirefox Add-onsの両方で公開されていることを確認した9月11日に調査結果を発表した時点で、Chromeで約3万人、Firefoxで552人のユーザーに利用されていました。

これらのリスティングは、本稿執筆時点でも公開されたままです。

拡張機能に不要なはずのトークン

この拡張機能は、広告ブロックや1080p表示の強制、リージョン制限の解除といった、快適な視聴体験を提供するツールとして宣伝されています。こうした機能を実現するため、Twitchの動画プレイリストへのリクエストはJeetBotのプロキシサーバー経由でルーティングされますが、Socketはこのリダイレクトの際にユーザーのOAuthトークンが一緒に送信されていることを突き止めました。

OAuthトークンはURLのクエリパラメータとして付加されるため、プロキシのリクエストログに平文で記録されます。Socketによれば、これは限定的な再生用トークンではなく、アカウント全体に及ぶTwitchトークンであり、この拡張機能がTwitch自身の検証エンドポイントにも同じ値を送信していることからそれが裏付けられるとしています。

このクレデンシャルはベアラートークンです。これを保有する者は、パスワードや二要素認証を必要とせずに、そのアカウントでウィスパーの閲覧・送信、チャットへの投稿、チャンネルポイントの利用が可能になります。

Socketが意図的な行為だと考える最も有力な根拠は、この拡張機能が動作するのにそもそもこのトークンを必要としない点です。再生用トークンはすでに別途処理されており、さらにロシア語圏の配信者10チャンネルのハードコードされたリストに対しては、アカウントトークンを一切添付せずに同じプロキシ経由でトラフィックをルーティングしています。

悪意あるブラウザ拡張機能に関する関連記事はこちら: 悪意あるGoogle Chrome拡張機能がWorkdayとNetsuiteを乗っ取る

初期バージョンはトークンを保存していた

バージョン4.x系のビルドでは、さらに踏み込んだ処理が行われていました。Socketによると、2026年1月にリリースされたバージョン4.8は、取得したトークンをJeetBotのインフラ上にある専用のset-tokenエンドポイントに送信し、さらに2つのDenoサービスにバックアップを保存していました。

これらのビルドは最後に送信したトークンを追跡し、5秒間のクールダウンを設けていましたが、Socketはこれについて、受信側のサーバーがトークンを保持していた場合にのみ意味を成す挙動だと指摘しています。コード内にはロシア語のコメントがあり、トークン送信が失敗した場合は静かに処理を継続するよう拡張機能に指示していました。

これらのset-tokenエンドポイントは後のビルドでは姿を消しており、Socketはバージョン番号が4月の7.2.6から5月の85.2.2へと大きく跳躍し、その際にインライン転送方式が登場したことも指摘しています。

これらはいずれも開示されていません。Chrome Web Storeのデータセーフティ欄には、開発者はユーザーデータを収集・利用せず、第三者に販売することもないと記載されており、リンク先のプライバシーポリシーにも、この拡張機能はユーザーデータを一切収集・保存・処理しないと書かれています。

Socketはユーザーに対し、この拡張機能を削除した上で、Twitchのアカウント設定からすべてのセッションを切断し、再認証を行うよう呼びかけています。これにより、転送済みのトークンは無効化されます。またセキュリティチームに対しては、認証済みサービスへのホスト権限を持つブラウザ拡張機能が第三者のプロキシ先と組み合わさっている場合、クレデンシャル漏えいのリスクとして扱うべきだと助言しています。

この報告を受け、Twitchは英国夏時間午後6時33分にXで、「アカウントセキュリティに影響を及ぼす可能性のあるサードパーティ製ブラウザ拡張機能に関する報告を認識しています」とコメントし、ユーザー向けのセキュリティ推奨事項を示しました。

なお、GoogleとMozillaにもコメントを求めています。

本記事は9月15日08時50分(BST)に更新されました