Ne oldu?

Eylül 2026’da güvenlik araştırmacıları, Chrome ve Firefox mağazalarında yayınlanan “Twitch Enhanced Viewer | JeetBot” adlı tarayıcı eklentisinin yaklaşık 31 bin kullanıcının Twitch OAuth oturum jetonlarını işletmecinin kontrolündeki vekil sunuculara ilettiğini ortaya koydu. Socket araştırmacısı Kush Pandya’nın analizi ve The Hacker News’in aktardığına göre jetonlar, izlenen kanalların çoğunda URL sorgu parametresi (auth=) olarak net metin halinde proxy altyapısına taşınıyordu.

Bu bir “hata ayıklama notu” değil; kimlik bilgilerinin üçüncü tarafa sistematik aktarımıdır. OAuth oturum jetonu, parola veya ikinci faktör olmadan hesabın adına konuşma, fısıltı okuma/yazma ve kanal puanı harcama gibi işlemleri mümkün kılan bir taşıyıcı kimliktir. Yani kullanıcıya “rahatlık” diye satılan eklenti, aslında oturumu başka bir aktöre açıyordu.

Mağaza güveni ve platform iktidarı

Google Chrome Web Store ve Mozilla eklenti mağazası, milyonlarca insanın “güvenli” sandığı dağıtım kanallarıdır. Bu olay, mağazanın yeşil rozetinin veya indirme sayısının özgürlük garantisi olmadığını bir kez daha gösterdi. Kurumsal platformlar, reklam ve büyüme metrikleriyle şişirilmiş eklenti ekonomisini sürdürürken, kullanıcıların kimlik bilgileri ticari bot hizmetlerinin hammaddesine dönüşebiliyor.

JeetBot’un arkasındaki işletmeci, Twitch, Kick ve VK Live için ticari bir bot SaaS’ı olarak konumlanıyor. Eklenti “bölgesel kısıtları aşma”, “1080p” ve “reklamsız deneyim” vaadiyle pazarlanmış; oysa bu vaadin bedeli, oturum jetonunun vekil altyapısına taşınması olmuş. Geliştirici daha sonra bunu “gözden kaçırma” diye niteleyip yeni sürümlerde jeton göndermeyi kestiğini söylemiş olsa da, geçmişte iletilen jetonların geçersiz kılınmadığı açıkça uyarılıyor. Yani “güncelleyin” demek, sızmış kimliğin silindiği anlamına gelmiyor.

Gözetim ekonomisi ve seçici istisna

Araştırmaya göre belirli bir kanal listesi — çoğunlukla Rusça yayın yapan hesaplar — jeton yönlendirmesinden muaf tutuluyordu. Bu tür seçici istisnalar teknik bir ayrıntı gibi sunulsa da güç ilişkilerini hatırlatır: kimin trafiği korunur, kimin oturumu meta-veriye dönüşür? Kullanıcıya “ayarlanabilir liste” diye anlatılan şey, fiilen kimin jetonunun sızdırılacağına dair operatör tercihidir.

açık erişim mücadelesi’ın savunduğu açık erişim ilkesi, bilginin özgür dolaşımını savunurken aynı zamanda insanların iletişim araçlarının arkalarına gizlenmiş kapalı boru hatlarını da hedef alır. Burada sorun “kötü niyetli tek bir eklenti”nden ibaret değil; tarayıcı uzantısı modelinin, mağaza denetiminin zayıflığıyla birleşince nasıl bir gözetim ve kimlik sızıntısı altyapısına dönüştüğüdür.

Kullanıcılar için — saldırı tarifi değil, güç farkındalığı

Bu yazı bir istismar rehberi değildir. Anlatılan, mağduriyetin ölçeği ve platformların sorumluluğudur. Twitch oturumu açan herkes için pratik savunma, eklenti izinlerini sorgulamak, bilinmeyen “kalite artırıcı” araçları varsayılan güvenilir saymamak ve şüpheli eklentilerde oturumları yenilemektir. Ama bireysel tedbir, mağazaların ve platformların kolektif denetim eksikliğini örtmemelidir.

dijital haklar eleştirisi’ın dijital haklar eleştirisinde sıkça vurguladığı gibi: “güvenlik” söylemi çoğu zaman kullanıcıyı suçlu konumuna iterken asıl iktidar — kim veri toplar, kim saklar, kim satar — görünmez kalır. Burada görünür olan şudur: ticari bot altyapısı, yayıncı ekonomisinin rahatlığı maskesi altında oturum kimliklerini taşıdı; mağazalar ise eklenti hâlâ indirilebilirken kullanıcıyı “keşfetmeye” bıraktı.

Kaynaklar ve dayanışma

Olayın teknik ayrıntıları ve geliştirici açıklamaları için The Hacker News’in 14 Eylül 2026 tarihli haberine ve Socket araştırmasına bakılmalıdır: https://thehackernews.com/2026/09/malicious-twitch-browser-extension.html

Dijital özgürlük, “daha fazla ürün” değil; daha az kapalı aracı, daha fazla şeffaflık ve kullanıcıların kendi araç zincirine sahip çıkmasıdır. Eklenti ekonomisi bu sınavı bir kez daha kaybetti; kaybeden ise yine izleyenler ve yayıncılar oldu.