Μια βάση δεδομένων που φέρεται να περιέχει προσωπικά στοιχεία περίπου 40.000 Twitch streamers διαφημίζεται σε dark web marketplace, χωρίς μέχρι στιγμής να υπάρχει επιβεβαίωση ότι τα δεδομένα προέρχονται από παραβίαση των συστημάτων του Twitch.
Η βάση εμφανίστηκε προς πώληση στις 9 Σεπτεμβρίου 2026, σύμφωνα με έρευνα του Cybernews. Ο πωλητής υποστηρίζει ότι περιλαμβάνει usernames, URLs προφίλ, διευθύνσεις email, πραγματικά ονόματα, αριθμό followers και στοιχεία επαλήθευσης λογαριασμών.
Τι περιέχει η φερόμενη βάση δεδομένων
Το Cybernews εξέτασε δείγμα 501 εγγραφών που δόθηκαν ως απόδειξη για την ύπαρξη της βάσης.
Στα δεδομένα που εξετάστηκαν περιλαμβάνονταν usernames, σύνδεσμοι προς προφίλ, διευθύνσεις email, αριθμός followers και, σε ορισμένες περιπτώσεις, πλήρη ονόματα δημιουργών.
Ωστόσο, σημαντικό μέρος αυτών των πληροφοριών είναι ήδη δημόσια διαθέσιμο. Τα usernames και τα follower counts μπορούν να βρεθούν στα δημόσια προφίλ του Twitch, ενώ πραγματικά ονόματα μπορεί να έχουν συλλεχθεί από συνδεδεμένα social media προφίλ.
Οι ερευνητές αμφισβητούν ότι πρόκειται για άμεσο breach του Twitch
Παρότι η βάση παρουσιάζεται ως δεδομένα που αποκτήθηκαν από το Twitch, οι ερευνητές του Cybernews θεωρούν ότι είναι πιθανότερο να έχει δημιουργηθεί μέσω scraping.
Στο δείγμα που εξετάστηκε υπήρχαν follower counts τα οποία δεν ήταν ενημερωμένα, γεγονός που υποδηλώνει ότι η συλλογή των δεδομένων μπορεί να μην έγινε πρόσφατα.
Παράλληλα, εντοπίστηκαν ορισμένες διευθύνσεις email που δεν ήταν δημόσια εμφανείς στα αντίστοιχα Twitch προφίλ. Σύμφωνα με το Cybernews, αυτό αφήνει ανοιχτό το ενδεχόμενο να έγινε κατάχρηση του API του Twitch, είτε μέσω token του ίδιου του επιτιθέμενου είτε μέσω token που είχε αποκτηθεί από τρίτη πηγή.
Μέχρι στιγμής δεν υπάρχει επιβεβαίωση ότι το Twitch υπέστη breach που να συνδέεται με τη συγκεκριμένη βάση δεδομένων.
Ο κίνδυνος για τους streamers
Ακόμη και στην περίπτωση που μεγάλο μέρος των δεδομένων έχει συλλεχθεί από δημόσιες πηγές, η συγκέντρωσή τους σε μία βάση μπορεί να διευκολύνει στοχευμένες απόπειρες εξαπάτησης.
Για παράδειγμα, ένας επιτιθέμενος θα μπορούσε να χρησιμοποιήσει το πραγματικό όνομα ενός streamer, το μέγεθος του κοινού του και μια διεύθυνση email ώστε να παρουσιάσει ένα ψεύτικο μήνυμα ως επικοινωνία από εταιρεία που ενδιαφέρεται για sponsorship ή από το Twitch.
Οι ερευνητές προειδοποιούν ότι η συγκέντρωση τέτοιων στοιχείων μπορεί να διευκολύνει την προσωποποιημένη κοινωνική μηχανική και το phishing.
Η ξεχωριστή υπόθεση με browser extension
Η συγκεκριμένη υπόθεση έρχεται λίγες ημέρες μετά από άλλο περιστατικό που αφορούσε το Twitch.
Ερευνητές ασφαλείας της Socket εντόπισαν το «Twitch Enhanced Viewer | JeetBot», ένα ανεπίσημο extension για Chrome και Firefox με περίπου 31.000 χρήστες, το οποίο φέρεται να προωθούσε OAuth tokens του Twitch σε servers που ελέγχονταν από τον διαχειριστή του extension.
Τα συγκεκριμένα tokens θα μπορούσαν, υπό προϋποθέσεις, να χρησιμοποιηθούν για πρόσβαση σε λογαριασμούς χωρίς να απαιτείται ο κωδικός πρόσβασης ή ο κωδικός two-factor authentication.
Το Twitch δήλωσε ότι το συγκεκριμένο extension δεν συνδέεται με την πλατφόρμα και ότι ανακάλεσε tokens που ενδέχεται να είχαν εκτεθεί. Παράλληλα, συνέστησε στους χρήστες που το είχαν εγκαταστήσει να το αφαιρέσουν.
Δεν υπάρχει μέχρι στιγμής ένδειξη ότι το συγκεκριμένο περιστατικό με το extension συνδέεται με τη βάση δεδομένων των περίπου 40.000 streamers.
Τι μπορούν να κάνουν οι δημιουργοί
Το Twitch συνιστά στους δημιουργούς να χρησιμοποιούν two-factor authentication, μοναδικούς κωδικούς πρόσβασης και να ελέγχουν ανεξάρτητα μηνύματα που αφορούν sponsorships ή υποστήριξη λογαριασμού πριν ανοίξουν συνδέσμους ή δώσουν στοιχεία.
Μέχρι να υπάρξουν περισσότερα στοιχεία, η υπόθεση παραμένει ένας ισχυρισμός για βάση δεδομένων και όχι επιβεβαιωμένη παραβίαση του Twitch.
Το Twitch είχε αντιμετωπίσει επιβεβαιωμένο μεγάλο περιστατικό διαρροής το 2021, όταν είχαν εκτεθεί μεταξύ άλλων source code και στοιχεία σχετικά με τις απολαβές δημιουργών. Η τρέχουσα υπόθεση δεν έχει μέχρι στιγμής συνδεθεί με εκείνο το περιστατικό.
