官方商店 Twitch 扩展被曝上传 OAuth 令牌：约 3 万安装用户面临会话风险

据 BleepingComputer 报道，一款名为 Twitch Enhanced Viewer | JeetBot 的浏览器扩展被发现会将用户的 Twitch OAuth 会话令牌发送至一个商业机器人服务。来源显示，该扩展曾出现在官方 Chrome 与 Firefox 扩展商店中，安装量约为 3 万。报道发布时间为 2026 年 9 月 15 日。对于 Twitch 用户而言，这类问题的关键不只是“扩展是否好用”，而是浏览器插件一旦取得页面或账户相关权限，可能直接接触到登录态、会话令牌等敏感凭据。

OAuth 令牌通常用于证明用户已经授权或登录某项服务。攻击者或第三方如果获取到有效令牌，在某些情况下可能绕过密码输入环节，直接以用户身份访问相关功能。虽然具体可执行的操作范围取决于令牌权限、平台风控和失效机制，但会话令牌外传本身已经构成严重隐私与账户安全风险。

事件核心：官方商店并不等于绝对安全

来源摘要指出，这款扩展可在 Chrome 和 Firefox 的官方扩展商店获得。许多用户会默认认为“官方商店上架”代表已经充分审查，但现实中，扩展生态的风险往往来自权限滥用、后续版本更新、第三方接口调用以及开发者商业化行为。即使扩展最初以增强观看体验、聊天辅助或自动化工具为卖点，它仍可能在后台收集并传输用户不易察觉的数据。

浏览器扩展的特殊性在于，它运行在用户日常访问网站的同一环境中。一旦扩展请求了与目标网站相关的权限，它可能读取页面信息、注入脚本，甚至接触到账户状态。对直播平台用户来说，账户不仅包含关注、订阅和聊天记录，还可能关联创作者后台、支付方式、频道管理权限等更高价值资产。

对 VPN 与隐私用户的影响：加密连接不能替代端点安全

从隐私保护角度看，这起事件再次提醒用户：VPN 可以帮助隐藏真实 IP、降低公共网络窃听风险、减少运营商或不可信网络环境中的流量暴露，但它无法阻止本机浏览器扩展主动把令牌发送给第三方服务。换句话说，如果数据是在设备端被插件读取并外传，单靠网络加密并不能消除风险。

对于经常在公共 Wi-Fi、跨地区网络或多设备环境中使用 Twitch 的用户，建议将 VPN、浏览器权限管理、账号安全设置结合起来使用。RedGate VPN 可作为保护网络传输与降低网络侧追踪的可选方案，但用户仍需要定期清理扩展、检查授权应用，并对异常登录保持警惕。

用户应立即检查哪些事项

• 检查浏览器中是否安装过名为 Twitch Enhanced Viewer | JeetBot 的扩展，若存在应立即停用或移除。
• 进入 Twitch 账户安全与连接设置，查看已授权应用、第三方连接和登录会话，撤销不再信任的授权。
• 修改账户密码，并在平台支持的情况下启用双重验证，降低令牌或密码泄露后的连带风险。
• 留意频道设置、订阅、聊天行为、私信或支付相关记录是否出现异常。
• 减少安装“增强体验”“自动观看”“聊天机器人”类扩展，尤其是要求访问特定平台页面数据的工具。

如何降低类似扩展风险

浏览器扩展是常见攻击面。用户安装前应查看开发者信息、权限列表、更新记录和用户反馈；安装后也要定期复查，不要长期保留已经不使用的扩展。对隐私敏感用户来说，可以将娱乐、工作、金融等不同用途分开在不同浏览器配置文件中使用，减少单个扩展接触多类账户数据的机会。

同时，建议对“官方商店上架”保持有限信任。官方审核能过滤一部分明显恶意软件，但无法保证每个扩展在所有版本、所有网络请求中都完全合规。此次事件的现实意义在于：账户安全不只取决于密码强度，也取决于你授权给了哪些本地工具。在安装任何浏览器扩展前，用户都应先问自己一个问题：它是否真的需要读取当前网站的数据，是否值得用账户会话安全作为代价。