Añadir The App Date como fuente preferida de Google de forma gratuita.
Mantente informado con las últimas noticias de actualidad.
Un correo que menciona tus vídeos, ofrece un patrocinio y promete el envío de un dispositivo puede parecer una buena noticia. También puede ser la puerta de entrada a un robo de cuenta de Google y, con ella, a la pérdida del canal de YouTube.
ESET ha detectado fraudes que suplantan a Hollyland, Nike y Spotify con una mecánica pensada para creadores de contenido. El gancho no es un premio raro ni una alarma urgente, sino algo mucho más creíble para quien vive de publicar vídeos y negociar campañas.
Los atacantes copian el lenguaje de las marcas y convierten el patrocinio en trampa
Una periodista recibió una propuesta de un supuesto miembro del equipo de Hollyland. El mensaje incluía referencias a sus vídeos de YouTube y planteaba una colaboración con envío de producto, un detalle que encaja con la rutina real de muchos acuerdos comerciales.
Después de enviar sus tarifas, la conversación daba un giro que parecía normal. La víctima terminaba en una plataforma llamada Matchy para consultar estadísticas, revisar el acuerdo y gestionar el pago.
Ahí está una de las claves del engaño, porque la web imita un entorno profesional con métricas, logotipos y una calculadora de ingresos. Para un creador acostumbrado a paneles, campañas y cifras de audiencia, la escena resulta familiar.
La falsa plataforma empuja al creador a entregar su acceso de Google
Matchy no actúa como un simple escaparate. El fraude llega al momento en que la plataforma pide iniciar sesión con Google, un paso que muchos usuarios dan casi por reflejo cuando creen que están cerrando un acuerdo de patrocinio.
Si esa pantalla de acceso también está falsificada, los atacantes capturan la contraseña y hasta los códigos de verificación. Ya no hablamos solo de un intento de phishing clásico, sino de una toma de control pensada para cuentas que además pueden arrastrar un canal de YouTube asociado.
En un caso analizado, los delincuentes cambiaron el teléfono y el correo de recuperación de la cuenta. También añadieron nuevos códigos de respaldo para poner más obstáculos cuando la víctima intenta recuperarla.
"Antes de aceptar una propuesta de colaboración, es fundamental verificar que procede realmente de la marca, contactando con ella a través de sus canales oficiales y revisando los dominios y enlaces recibidos. Un diseño profesional o los logotipos de empresas conocidas no garantizan que una web sea legítima". Josep Albors, director de investigación y concienciación de ESET España
No es un aviso menor si se tiene en cuenta el peso que ya tienen estas figuras en internet. El Estudio de Redes Sociales 2025 de IAB Spain recoge que el 40 % de los usuarios españoles considera fiables a los influencers que sigue.
Cuando la confianza ya existe, el fraude necesita muy poco para funcionar
Esa cifra ayuda a entender por qué este tipo de campañas resultan tan delicadas. El atacante no necesita inventar un universo extraño, solo copiar el aspecto de una relación comercial habitual y colocar una pantalla de acceso en el momento justo.
Primero llega la promesa de una colaboración. Después aparecen métricas, pagos y marcas reconocibles. Al final, lo que parecía una negociación profesional acaba dependiendo de un clic en Google y de unos códigos de verificación que pueden dejar a un creador fuera de su propia cuenta.