A extensão que prometia melhorar o Twitch entregou 31 mil contas — sem precisar da senha

A extensão se chamava Twitch Enhanced Viewer e estava nas lojas oficiais do Chrome e do Firefox — não em site duvidoso, não em link de grupo. Ela prometia o que muita gente quer: transmissão em 1080p em regiões onde a qualidade é limitada, e uma experiência sem anúncios.

Cerca de 31 mil pessoas instalaram: aproximadamente 30 mil no Chrome e 604 no Firefox.

O que ela fazia de verdade

Pesquisadores da Socket descobriram que a extensão encaminhava as requisições do usuário por servidores intermediários controlados pelo operador — um serviço comercial de robôs. E, nesse desvio, o token de acesso da conta ia junto, embutido no endereço da requisição.

Token de acesso é a credencial que o navegador guarda depois que você faz login. É o que permite você fechar e abrir o site sem digitar a senha de novo. Quem tem esse token em mãos entra na conta como se fosse você — sem a senha e sem o segundo fator de autenticação, porque o login já foi feito.

Com os tokens, era possível ler e enviar mensagens privadas, usar o chat e alterar configurações das contas atingidas.

Por que isso é assunto corporativo

Twitch é entretenimento, e a maior parte das vítimas provavelmente instalou a extensão num computador pessoal. Só que o mecanismo do golpe não tem nada de específico de jogos, e é aí que a coisa interessa à sua empresa.

Uma extensão de navegador vê o que acontece no navegador. No mesmo programa onde o funcionário assiste a uma transmissão, ele acessa o e-mail corporativo, o sistema interno, o banco e a nuvem da empresa. Uma extensão com permissões amplas pode fazer com esses sites exatamente o que essa fez com a Twitch.

E há dois agravantes:

• Estar na loja oficial não é garantia. A revisão das lojas é automatizada e falha. Esta extensão ficou disponível desde meados de 2025 e passou a enviar os tokens numa atualização posterior — ou seja, a extensão que você instalou honesta pode virar maliciosa numa atualização.
• Roubo de token dribla o segundo fator. Essa é a parte que mais surpreende quem confia na autenticação em duas etapas. O segundo fator protege o login; o token existe depois dele.

O que dá para fazer

• Liste o que está instalado. No Chrome, em Configurações → Extensões; no Edge e no Firefox, caminho equivalente. Vale olhar e desinstalar o que não se usa há meses. Extensão parada é risco sem benefício.
• Olhe as permissões. Extensão que pede para “ler e alterar todos os seus dados em todos os sites” precisa de um motivo muito bom.
• Nas máquinas da empresa, use lista aprovada. Tanto o Chrome quanto o Edge permitem, por política de gerenciamento, definir quais extensões podem ser instaladas. É uma das configurações com melhor retorno em segurança corporativa.
• Se instalou essa em particular: remova e encerre todas as sessões da conta, saindo de todos os dispositivos e entrando de novo. Só trocar a senha não resolve, porque o token continua valendo.

A promessa era assistir sem anúncio. O preço foi a conta inteira — e, em muitos computadores, a conta pode não ter sido a única coisa exposta.

Fontes

• Socket — pesquisa sobre a extensão maliciosa Twitch Enhanced Viewer: socket.dev/blog
• Twitch — Central de Ajuda, encerrar sessões e segurança da conta: help.twitch.tv
• Foto de capa: estande da Twitch em evento de games — Sergey Galyonkin, CC BY-SA 2.0, via Wikimedia Commons
• Segunda imagem: logotipo da Twitch — Twitch, domínio público, via Wikimedia Commons