Las falsas propuestas de colaboración comercial se están utilizando para intentar robar cuentas de Google vinculadas a canales de YouTube. La campaña, analizada por ESET, suplanta a marcas reconocidas y contacta directamente a creadores de contenido con ofertas de patrocinio que parecen legítimas, para después conducirlos a plataformas falsas donde se les solicita iniciar sesión.
El engaño combina tres elementos para generar confianza: el nombre de una compañía conocida, una propuesta comercial aparentemente personalizada y una página web con diseño profesional.
La compañía de ciberseguridad advierte que esta estrategia también está dirigida a creadores de contenido de Latinoamérica y puede terminar con la pérdida del control de una cuenta de Google y, por extensión, de un canal de YouTube.
Una propuesta de patrocinio que parece real
La estafa comienza con un correo electrónico en el que los atacantes se presentan como representantes de una marca. En uno de los casos analizados, una periodista peruana recibió una propuesta de colaboración remunerada supuestamente enviada por una integrante del equipo de Creator Partnerships de Hollyland, una compañía legítima especializada en equipos audiovisuales.
La empresa no estaba detrás del contacto. Los atacantes utilizaban su identidad para dar credibilidad a la propuesta. Además, el mensaje hacía referencia a vídeos concretos del canal de la destinataria y ofrecía un producto junto con la posibilidad de establecer una colaboración a largo plazo.
Una primera señal de alerta era que el correo procedía de un dominio que no pertenecía a Hollyland.
Después de que la creadora respondiera con sus tarifas, el supuesto representante aceptó una colaboración valorada en 300 dólares y añadió elementos habituales en este tipo de acuerdos: un proceso de verificación, un documento con instrucciones, revisión de estadísticas, un panel de gestión y un sistema de “pago seguro”.
El siguiente paso lleva a una plataforma falsa
El contacto posteriormente dirigió a la víctima a un sitio web denominado Matchy. La página estaba diseñada para aparentar ser una plataforma profesional que conecta marcas y creadores de contenido.
El sitio incluía logotipos de compañías conocidas, estadísticas sobre campañas, una calculadora de ingresos y herramientas relacionadas con contratos, colaboraciones y pagos. También solicitaba la dirección del canal de YouTube para obtener información pública y crear una experiencia personalizada.
Según ESET, esta etapa es importante porque evita solicitar información sensible desde el primer momento. El usuario simplemente introduce datos que parecen necesarios para gestionar una colaboración comercial.
El problema aparece después, cuando la plataforma conduce al creador hasta una pantalla de inicio de sesión con Google para supuestamente verificar la propiedad del canal.
“Iniciar sesión con Google” es un mecanismo legítimo utilizado por numerosos servicios, pero en este caso aparece dentro de un sitio ajeno a los canales oficiales de la marca. Si el usuario introduce sus credenciales, los atacantes pueden obtener acceso a la cuenta.
La víctima puede perder el control de su cuenta
La compañía de ciberseguridad documentó el testimonio de una persona que inició sesión varias veces en uno de estos sitios. Poco después comenzó a detectar actividad que no reconocía en su cuenta de Google, incluidos accesos asociados con Rusia y Virginia.
Al revisar la configuración de seguridad, descubrió que habían cambiado elementos fundamentales para recuperar la cuenta. Los atacantes habían eliminado su teléfono y correo electrónico de recuperación, añadido información propia y sustituido los códigos de respaldo.
Esto puede dejar al propietario legítimo en una situación especialmente complicada, porque los mecanismos destinados a recuperar la cuenta también han sido modificados.
El riesgo no se limita al correo electrónico. Una cuenta de Google comprometida puede proporcionar acceso al canal de YouTube y a otros servicios, archivos, contactos, información personal y herramientas relacionadas con la actividad profesional del creador.
La campaña utiliza distintas marcas y dominios
ESET también encontró variantes que utilizan los nombres de otras compañías, entre ellas Nike y Spotify. La infraestructura observada alterna nombres como Matchy y Scouty y emplea diferentes dominios para evitar ser detectada.
Los investigadores encontraron coincidencias técnicas entre algunos sitios, como elementos del código, favicons, metadescripciones, textos y estructuras similares. Estos indicios permiten relacionar las distintas variantes con una misma infraestructura o campaña, aunque no identifican por sí solos a sus responsables.
Los contactos, además, están personalizados y se han observado casos en Perú, Japón y comunidades de habla inglesa.
Cómo evitar caer en la estafa
Los expertos recomienda verificar cualquier propuesta comercial mediante los canales oficiales de la marca. También es importante comprobar cuidadosamente el dominio desde el que llega el correo y la dirección de la página a la que se solicita acceder.
Un diseño profesional, logotipos conocidos o una negociación aparentemente formal no demuestran que una plataforma sea legítima. Antes de iniciar sesión con Google, los creadores deben comprobar qué servicio están autorizando y qué permisos solicita.
Si una cuenta ya fue comprometida, se recomienda revisar inmediatamente los eventos de seguridad, los dispositivos conectados, los métodos de recuperación y las aplicaciones de terceros autorizadas. También aconseja eliminar accesos desconocidos, cambiar la contraseña y activar un método adicional de autenticación.
Una oferta de patrocinio puede parecer una oportunidad comercial, pero en esta campaña constituye el primer paso de un ataque diseñado para conseguir algo mucho más valioso: el control de la cuenta y del canal del creador.
