[보안뉴스] 트위치 브라우저 확장 프로그램, 약 31,000명 사용자의 OAuth 토큰 유출
· 2026-09-18 22:00
· 조회 20
· 원문 ↗
트위치(Twitch) 사용자를 겨냥한 악성 브라우저 확장 프로그램이 유포되어 대규모 계정 인증 정보가 유출되는 보안 사고가 발생했습니다. 문제가 된 확장 프로그램은 "Twitch Enhanced Viewer | JeetBot"이라는 이름으로 유포되었으며, 구글 크롬 웹스토어와 모질라 파이어폭스 부가기능 스토어 모두에 등록되어 피해를 키웠습니다.
이번 사고로 약 31,000명에 달하는 트위치 사용자의 OAuth 토큰이 외부로 유출된 것으로 확인되었습니다. 조사에 따르면, 해당 악성 기능은 수집한 OAuth 토큰을 러시아의 상업용 봇 서비스가 운영하는 프록시 서버로 전송했습니다. 유출된 OAuth 토큰을 악용하면 공격자가 피해자의 비밀번호 없이도 계정에 직접 접근할 수 있으며, 이를 통해 조회수 조작, 채팅창 스팸 유포 등 악의적인 봇 활동에 계정이 무단 도용될 수 있습니다.
해당 확장 프로그램을 설치했던 사용자들은 즉시 브라우저에서 이를 삭제해야 합니다. 이와 함께 추가적인 계정 탈취 피해를 막기 위해 트위치 계정 설정의 '연결(Connections)' 항목에서 승인된 앱 목록을 점검하고, 무단 연결된 액세스 권한을 철회해야 합니다. 또한, 계정 비밀번호를 즉시 변경하고 2단계 인증(2FA)을 활성화하는 등의 보안 조치가 필요합니다.
♥ 추천 0
브라우저 확장 프로그램 권한을 악용한 토큰 탈취는 클라이언트 사이드 보안의 전형적인 허점입니다.
이를 방어하려면 프론트엔드 단에서 Access Token의 유효 기간을 극도로 짧게 가져가고 Refresh Token Rotation(RTR)을 필수적으로 적용해야 합니다.
또한 백엔드 API 게이트웨이 차원에서도 토큰 사용 시 비정상적인 프록시 IP나 세션 변경을 실시간으로 감지하고 즉시 해당 토큰을 무효화하는 제로 트러스트 기반의 검증 로직이 요구됩니다.
브라우저 확장 프로그램은 사용자 브라우저 내 권한을 직접 활용할 수 있어, MFA(다중 인증)를 무력화하고 OAuth 토큰을 탈취하기에 최적의 공격 벡터입니다. 탈취된 31,000여 개의 토큰은 별도의 기기 인증 없이 즉각적인 계정 탈취(ATO) 및 API 오남용이 가능하며, 대규모 봇넷 자산으로 즉시 전환될 수 있습니다. 공격자 입장에서는 공식 스토어의 심사 허점을 노려 최소한의 리소스로 대규모의 유효한 세션 권한을 확보한 매우 가성비 높은 공급망 공격 사례입니다.
브라우저 확장 프로그램은 과도한 권한 요구로 인해 기업의 계정 접근 관리(IAM) 체계를 위협하는 대표적인 '섀도우 IT' 리스크입니다. 단 한 번의 OAuth 토큰 유출로도 연동된 사내 시스템 전체로 피해가 확산될 수 있는 만큼, 업무용 기기 내 미승인 플러그인 설치를 차단하는 허용 목록(Allowlist) 정책 적용이 시급합니다. 제로 트러스트 관점에서 제3자(Third-party) 앱 통제와 함께 사내 세션 토큰 모니터링 체계를 신속히 재점검하겠습니다.