Расширение для Twitch с 31 тысячей пользователей передавало токены доступа стороннему сервису

Расширение "Twitch Enhanced Viewer | JeetBot" доступно сразу в двух магазинах - Chrome Web Store и Firefox Add-ons. Оно обещает зрителям Twitch спокойный просмотр: без рекламных вставок, с принудительным качеством 1080p, обходом региональных ограничений и автоматическим сбором баллов каналов. В Chrome расширение установили около 30 тысяч человек, в Firefox - ещё 552 пользователя. Обе карточки оставались открытыми на момент публикации отчёта. О передаче данных за пределы браузера в описании не сказано ни слова.

Описание

Полезные функции действительно работают, и именно поэтому расширение годами не вызывало вопросов у аудитории. Проблема в другом: вместе с рекламой оно отправляет на сторонние серверы учётные данные зрителя. Точнее, речь идёт о токене сессии Twitch - служебном ключе, который заменяет пароль и открывает чат, личные сообщения и настройки профиля. Код второго фактора для этого не нужен. Зритель при этом не видит ни самих запросов, ни адресов, куда уходят данные. Расширение работает в фоне и никак не сообщает о своих сетевых обращениях.

Схема устроена просто. Чтобы убрать рекламу, расширение пропускает запросы видеоплеера через прокси-серверы своего оператора. К тому же перенаправлению прикрепляется токен авторизации, который веб-клиент Twitch применяет для работы с аккаунтом. Он уходит в адресной строке запроса, а значит, остаётся в журналах прокси открытым текстом. Сначала расширение перехватывает заголовок авторизации на странице Twitch, затем передаёт его своему фоновому процессу, а тот снимает служебную приставку и восстанавливает исходное значение. О том, что это пользовательский токен, а не узкий ключ воспроизведения видео, говорит его применение: тот же ключ расширение отправляет на сервис проверки токенов самой Twitch. Для показа трансляции такой объём прав не нужен - часть каналов расширение проводит через прокси вообще без токена. В Chrome и Firefox учётные данные обрабатываются одинаково, хотя механизмы перенаправления в браузерах устроены по-разному.

Десять каналов из схемы исключены. По данным Socket, разработчик жёстко вписал в код список русскоязычных стримеров, среди которых известные игроки в Counter-Strike. Их трансляции идут через прокси без передачи токена. Остальные зрители, независимо от языка и страны, попадают под сбор. Такой перечень объясняется аудиторией оператора: он продвигает коммерческий сервис для накрутки активности на Twitch, Kick и VK-Live.

Ранние сборки вели себя иначе. В версии 4.8, вышедшей в январе 2026 года, токен не прикреплялся к перенаправлению, а отправлялся отдельным запросом на специальный адрес приёма. Резервные копии адреса размещались на сторонней облачной платформе и использовались на случай недоступности основного сервера. Код ограничивал частоту отправки и запоминал последнее переданное значение - такая логика осмысленна только тогда, когда получатель сохраняет данные у себя. Авторы оставили комментарии в коде на русском языке, включая указание молча игнорировать ошибку отправки. В мае 2026 года нумерация версий скачком сменилась с 7.2.6 на 85.2.2, и схему переписали: отдельный адрес приёма исчез, передача переехала в параметр перенаправления. Текущая сборка 85.6.1 работает именно так.

За расширением стоит JeetBot - коммерческий сервис ботов для Twitch, Kick и VK-Live. В подвале его сайта указан владелец, Попов Александр Алексеевич, и адрес поддержки. В магазинах расширение выходит под именем разработчика HISHIMIRO. Каким серверам достанется очередной токен, решает внешний каталог прокси: оператор управляет этим со своей стороны. Оператор держит часть инфраструктуры у немецких хостинг-провайдеров, там же хранятся снимки экрана и служебные данные расширения. Сторонний каталог расширений указывает дополнительный контактный адрес разработчика.

Общее число затронутых аккаунтов - около 31 тысячи. Токен сессии заменяет пароль: его обладатель может писать в чат от имени жертвы, читать личные сообщения и тратить накопленные баллы каналов. Ни одна из карточек в магазинах об этом не предупреждает. Раздел о безопасности данных в Chrome Web Store уверяет, что разработчик не собирает и не использует сведения пользователей и не продаёт их третьим лицам. Политика конфиденциальности, опубликованная в июне 2025 года, повторяет ту же мысль: данные не собираются, не хранятся и не обрабатываются. Про токен и его передачу в документах нет ни слова. Что происходит с ключом после попадания на прокси-сервер, разработчик не раскрывает. Проверить схему самостоятельно почти невозможно: внешне расширение ведёт себя как обычный инструмент для просмотра.

Пострадавшим стоит удалить расширение из обоих браузеров, а затем в настройках Twitch завершить все активные сессии и войти заново - это обнуляет уже переданные токены. Любое расширение, которое пропускает трафик авторизованного сервиса через чужие серверы, получает доступ к учётным данным этого сервиса. Службам безопасности компаний имеет смысл блокировать инфраструктуру оператора на сетевом уровне и держать под контролем расширения с широкими правами доступа к авторизованным сервисам. Пользователям стоит относиться к любому расширению с доступом к авторизованному сервису как к потенциальному держателю их пароля.