eSportivo Fortnite – Komunitas streaming Twitch kembali dihadapkan pada ancaman siber yang mengerikan! Bayangkan, ada klaim bahwa data pribadi sekitar 40.000 streamer Twitch kini beredar di pasar gelap internet, alias dark web. Ini bukan sekadar ‘bug’ kecil, melainkan potensi ‘zone collapse’ bagi privasi para kreator konten favorit kita yang mungkin sedang asyik ‘grinding’ atau ‘push rank’.
Menurut investigasi dari Cybernews, seorang ‘aktor ancaman’ mulai mengiklankan database ini di sebuah forum ilegal yang terkenal sejak 9 September lalu. Penjual mengklaim data tersebut mencakup nama pengguna Twitch, URL profil, alamat email, nama lengkap, jumlah pengikut, hingga status verifikasi akun. Cybernews sendiri telah meneliti sampel berisi 501 catatan dan menemukan banyak informasi yang diklaim tersebut memang ada.
Namun, ada ‘plot twist’ di sini. Para peneliti meragukan bahwa data ini didapatkan melalui peretasan langsung terhadap sistem Twitch. Mereka lebih condong pada teori ‘scraping’ – pengumpulan data secara otomatis dari sumber yang sudah publik. Ini seperti ‘mengumpulkan loot’ dari area terbuka, bukan ‘menembus benteng’ utama Twitch. Tapi, apakah ini berarti kita bisa bernapas lega dan menganggapnya seaman ‘safe zone’ di akhir game?
Memang, banyak informasi seperti nama pengguna atau jumlah pengikut sudah tersedia untuk umum. Nama lengkap pun bisa jadi diambil dari profil media sosial yang terhubung. Bahkan, beberapa data jumlah pengikut terlihat sudah usang, mengindikasikan database ini mungkin bukan hasil pengumpulan terbaru. Namun, inilah bagian yang membuat ‘shield’ kita berkedip merah: peneliti menemukan alamat email yang tidak terlihat publik di profil Twitch para kreator yang terdampak! Ini menimbulkan dugaan kuat adanya penyalahgunaan API Twitch, entah menggunakan token akses milik penyerang sendiri atau token yang dicuri dari pihak lain. Artinya, ada celah yang dimanfaatkan di balik layar yang bisa jadi lebih berbahaya dari yang kita kira. Hingga saat artikel ini ditulis, belum ada konfirmasi resmi dari Twitch bahwa sistem mereka diretas secara langsung. esportivonews.com sendiri telah menghubungi pihak perusahaan milik Amazon ini untuk meminta komentar lebih lanjut.
Meskipun bukan peretasan langsung, pengumpulan informasi ini dalam satu ‘database besar’ adalah ‘senjata’ berbahaya. Para peneliti memperingatkan bahwa hal ini bisa mempermudah serangan ‘phishing’ atau penipuan yang ditargetkan. Bayangkan, penipu bisa menyamar sebagai merek besar atau bahkan perwakilan Twitch, menggunakan nama asli streamer, ukuran audiens, dan alamat email mereka untuk menawarkan ‘sponsor’ palsu atau pesan verifikasi akun yang terlihat sangat meyakinkan. Ini adalah ‘trap’ yang sulit dihindari jika tidak waspada dan bisa membuat akun Anda ‘ter-ban’ dari kesempatan emas.
Insiden ini muncul hanya beberapa hari setelah kejadian lain yang menghebohkan. Peneliti keamanan dari Socket menemukan bahwa ekstensi browser pihak ketiga ‘Twitch Enhanced Viewer | JeetBot’ – yang digunakan sekitar 31.000 pengguna – ternyata meneruskan token OAuth Twitch secara langsung melalui server operatornya. Token ini bisa digunakan untuk mengakses akun tanpa password atau 2FA, bahkan untuk mengirim pesan atau mengubah pengaturan! Untungnya, tidak ada bukti yang menghubungkan ekstensi ini dengan database yang dijual di dark web.
Pihak Twitch sendiri telah merespons, menegaskan bahwa ‘Twitch Enhanced Viewer’ adalah ekstensi pihak ketiga tidak resmi. Mereka segera mencabut token akses yang berpotensi terekspos, yang secara otomatis akan mengeluarkan pengguna yang terdampak dari akun mereka. Twitch menyarankan siapa pun yang menginstal ekstensi tersebut untuk segera menghapusnya. Mereka juga memberikan ‘pro tips’ kepada para kreator: aktifkan autentikasi dua faktor (2FA), gunakan kata sandi unik, dan selalu verifikasi ulang email sponsor atau dukungan Twitch yang tidak terduga sebelum mengklik tautan apa pun. Ini adalah ‘defense mechanism’ yang wajib kalian miliki!
Ini bukan kali pertama data Twitch terekspos ke publik. Pada tahun 2021, platform milik Amazon ini mengalami kebocoran data besar yang dikonfirmasi, mengungkap kode sumber dan bahkan pendapatan para kreator. Saat itu, Twitch mengambil langkah ekstrem dengan mereset setiap kunci stream pengguna sebagai tindakan pencegahan. Jadi, ‘battle’ keamanan siber ini memang tidak pernah berakhir, dan para streamer harus selalu siap dengan ‘strategi’ terbaik untuk melindungi diri.
