Añadir The App Date como fuente preferida de Google de forma gratuita.
Mantente informado con las últimas noticias de actualidad.
Un correo que promete una colaboración de 300 dólares puede parecer rutina para quien vive de YouTube. Ahí está precisamente el gancho de una campaña que suplanta a marcas conocidas para robar cuentas de Google de creadores en Latinoamérica.
ESET ha seguido el rastro de este fraude, que no busca solo un clic despistado. Los atacantes intentan tomar el control total de la cuenta, incluida la puerta de entrada al canal, al correo y a los métodos de recuperación.
Los falsos patrocinios convierten el acceso con Google en la trampa central
La mecánica resulta creíble porque copia una escena habitual en la economía de los creadores. Un supuesto equipo de colaboración comercial contacta por correo, usa el nombre de una marca reconocida y empuja a la víctima hacia una web que aparenta servir para gestionar acuerdos.
En uno de los casos analizados, una periodista peruana recibió una propuesta atribuida al equipo de Creator Partnerships de Hollyland por 300 dólares. El mensaje la dirigía a Matchy, una página que mostraba logotipos de empresas conocidas y herramientas de gestión de contratos.
El detalle más delicado llega cuando la plataforma pide la dirección del canal de YouTube y acto seguido invita a iniciar sesión con Google para verificar su propiedad. Ese acceso con Google funciona como el punto exacto en el que la campaña intenta capturar las credenciales.
La cuenta robada no solo pierde el canal y también los datos de recuperación
Cuando el engaño funciona, el problema ya no consiste únicamente en perder acceso a YouTube durante unas horas. Una víctima que entró en estos sitios detectó actividad en su cuenta asociada a Rusia y Virginia.
Después comprobó que los atacantes habían cambiado el teléfono de recuperación, el correo de recuperación y también los códigos de respaldo. Recuperar la cuenta tras ese movimiento se vuelve mucho más difícil, porque el ladrón intenta cortar todas las vías de vuelta al propietario legítimo.
Eso convierte una aparente oferta comercial en algo bastante más serio que un intento de phishing corriente. Quien cae no entrega solo una contraseña, sino el control de los mecanismos que suelen salvar la cuenta cuando algo va mal.
La campaña cambia de disfraz con nombres como Nike, Spotify, Matchy y Scouty
ESET ha identificado variantes que usan los nombres de Nike y Spotify, además de las plataformas Matchy y Scouty. El patrón no depende de una sola marca, así que el anzuelo puede adaptarse con facilidad al perfil de cada creador.
También hay una pista que ayuda a medir el alcance. Los contactos vinculados a esta campaña han aparecido en Perú, Japón y comunidades de habla inglesa.
La variedad de marcas y territorios muestra que el fraude no circula como un caso aislado, sino como una fórmula reutilizable que aprovecha la familiaridad del creador con los acuerdos publicitarios y con el inicio de sesión de Google.
Revisar el dominio del correo evita un error que cuesta mucho deshacer
ESET recomienda comprobar las propuestas comerciales en los canales oficiales de cada marca. También pide revisar el dominio real del correo electrónico y mirar con atención qué permisos aparecen antes de iniciar sesión con Google.
Ese consejo puede sonar básico, pero aquí marca la diferencia entre una negociación legítima y una suplantación bien maquillada. En fraudes de este tipo, la web puede parecer profesional y hasta incluir logotipos conocidos, aunque el control real esté en manos de terceros.
Si la cuenta ya ha caído, toca revisar los eventos de seguridad, los dispositivos conectados, los métodos de recuperación y las aplicaciones de terceros autorizadas. Cambiar la contraseña y activar una autenticación adicional forma parte de las medidas recomendadas tras el compromiso.
La señal más incómoda de toda la campaña no está en el diseño de Matchy o Scouty, sino en lo fácil que resulta disfrazar un robo de cuenta como una propuesta de patrocinio de 300 dólares y rematarlo cambiando teléfono, correo de recuperación y códigos de respaldo.