Golpistas miram criadores do YouTube com sites falsos de patrocínio

Pesquisadores de segurança cibernética da ESET detalharam uma campanha modular de phishing criada para sequestrar contas do Google de criadores de conteúdo do YouTube. Os invasores entram em contato com os criadores por meio de e-mails personalizados, fingindo ser representantes de marcas renomadas como Hollyland, Nike e Spotify. A abordagem atrai os canais-alvo para falsas negociações de patrocínio antes de direcioná-los a portais maliciosos projetados para roubar credenciais de acesso.

Plataformas modulares imitam colaborações legítimas

Em vez de enviar links de login imediatos, os criminosos constroem credibilidade por meio de trocas de e-mails em várias etapas sobre valores e termos da campanha. Em seguida, eles direcionam os criadores para plataformas externas que operam sob nomes como MATCHY, SCOUTY e TUBIVE. Esses sites exibem logotipos de marcas, métricas, calculadoras de ganhos e dados públicos coletados automaticamente do próprio canal do YouTube do alvo para parecerem autênticos.

Armadilha de verificação rouba acesso ao canal

A tomada de controle da conta ocorre quando a plataforma solicita que o usuário faça login com o Google sob o pretexto de verificar a propriedade do canal. Assim que o criador insere sua senha e o código de verificação de uso único, os invasores capturam as credenciais. Os criminosos assumem rapidamente o controle total ao alterar números de telefone vinculados, endereços de e-mail de recuperação e códigos de backup, bloqueando o acesso dos criadores ao Gmail, Google Drive e a seus canais do YouTube.

Identificação de alertas e estratégias de defesa

Analistas de segurança destacam diversos indicadores comuns nessas plataformas falsas, incluindo endereços de e-mail do remetente que não coincidem com os da marca representada e registros de domínio com proteção de privacidade. Táticas relacionadas envolvem ofertas de agências fraudulentas, como a Creoventura — que afirma falsamente ter vínculo com a marca AndaSeat —, baseando-se em domínios registrados recentemente, ícones de redes sociais inativos e depoimentos não verificados. A ESET recomenda verificar ofertas de patrocínio de forma independente por canais oficiais, checar se as URLs de autenticação coincidem com os domínios oficiais do provedor e utilizar ferramentas de diagnóstico da conta para revisar acessos de terceiros conectados.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: YouTubers targeted with fake sponsorships and “channel verification” phishing