Estafadores atacan a creadores de YouTube con sitios falsos de patrocinio para suplantar identidad

Investigadores de ciberseguridad de ESET han detallado una campaña de suplantación de identidad (phishing) de tipo modular diseñada para secuestrar cuentas de Google pertenecientes a creadores de YouTube. Los atacantes contactan a los creadores a través de correos electrónicos personalizados, haciéndose pasar por representantes de marcas reconocidas como Hollyland, Nike y Spotify. El contacto inicial atrae a los canales objetivo a falsas negociaciones de patrocinio antes de redirigirlos a portales web maliciosos diseñados para robar credenciales de acceso.

Plataformas modulares que imitan colaboraciones legítimas

En lugar de enviar enlaces de inicio de sesión inmediatos, los atacantes generan confianza mediante intercambios de correo electrónico en varias etapas sobre tarifas y condiciones de la campaña. Posteriormente, dirigen a los creadores a plataformas externas que operan bajo nombres como MATCHY, SCOUTY y TUBIVE. Estos sitios muestran logotipos de marcas, métricas, calculadoras de ganancias y datos públicos extraídos automáticamente del canal de YouTube del objetivo para dar una apariencia de autenticidad.

La trampa de verificación de cuenta roba el acceso al canal

El secuestro de la cuenta se produce cuando la plataforma solicita a los usuarios iniciar sesión con Google con el pretexto de verificar la propiedad del canal. Tan pronto como el creador ingresa su contraseña y el código de verificación de un solo uso, los atacantes capturan las credenciales. Los intrusos toman el control total rápidamente al cambiar los números de teléfono vinculados, las direcciones de correo de recuperación y los códigos de respaldo, dejando a los creadores sin acceso a Gmail, Google Drive y sus canales de YouTube.

Identificación de señales de advertencia y estrategias de defensa

Los analistas de seguridad señalan múltiples indicadores habituales en estas falsas plataformas de patrocinio, entre ellos direcciones de correo electrónico del remitente que no coinciden con la marca representada y registros de dominio con privacidad activada. Entre las tácticas vinculadas se encuentran ofertas fraudulentas de agencias como Creoventura —que afirma falsamente estar asociada con la marca AndaSeat—, las cuales recurren a dominios registrados recientemente, íconos de redes sociales que no funcionan y testimonios no verificados. ESET recomienda verificar las ofertas de patrocinio de forma independiente mediante los canales oficiales de la marca, comprobar que las URL de inicio de sesión único correspondan a los dominios oficiales del proveedor y utilizar herramientas de diagnóstico de cuenta para revisar el acceso concedido a terceros.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: YouTubers targeted with fake sponsorships and “channel verification” phishing