Escuchar esta nota
Voz generada con inteligencia artificial por ElevenLabs. El texto es de la redacción de Finanzas y Negocios.
Centroamérica.- ESET Latinoamérica alerta sobre propuestas falsas de patrocinio, plataformas fraudulentas que utilizan la imagen de marcas reales para comprometer cuentas de Google asociadas a canales de YouTube.
Claves de la nota
- La estafa comienza con un correo inicial que ofrece una supuesta propuesta comercial personalizada para creadores de contenido.
- El supuesto representante acepta una opción valuada en US$300 para consolidar la confianza mediante la negociación.
- Se solicita iniciar sesión con Google a través de un sitio ajeno a los canales oficiales para comprometer la cuenta.
ESET, compañía líder en detección proactiva de amenazas, advierte que atacantes suplantan la identidad de marcas reconocidas para acercar propuestas de colaboración y patrocinio a creadores de contenido en YouTube, con el objetivo final de robar sus cuentas.
El uso del nombre de una marca reconocida a nivel global, una propuesta de patrocinio que parece real y una plataforma con diseño y herramientas profesionales son los tres pilares de esta campaña activa que también apunta a creadores de contenido de Latinoamérica.
ESET analiza el paso a paso del engaño, desde el primer contacto y la negociación de una supuesta colaboración comercial hasta la solicitud de iniciar sesión con Google, lo que puede terminar con el secuestro de la cuenta.
Además, el equipo de investigación examina distintas variantes de esta misma estrategia, en las que los actores maliciosos cambian nombres, dominios y marcas para evadir la detección, y repasan las principales señales de alerta que permiten identificar el engaño antes de caer en la trampa.
La estafa y el robo de identidad
La estafa comienza con un correo inicial con una supuesta propuesta comercial. En el caso analizado por ESET una periodista del Perú recibió una “Paid collaboration opportunity” y el remitente se presentaba como “Brandi”, del equipo de Creator Partnerships de Hollyland.
Aquí hay un robo de identidad, ya que, si bien Hollyland es una empresa legítima dedicada a la fabricación de equipos de transmisión inalámbrica y soluciones audiovisuales, no tiene nada que ver con estos contactos, sino que utilizan su nombre para dar credibilidad al correo.
La marca advirtió en sus redes sociales sobre estos tipos de correos falsos que fueron enviados en su nombre, en donde también detalla sus canales de comunicación oficiales.
El mensaje estaba personalizado con referencias concretas a videos del canal de YouTube de la víctima a la que le ofrecían un dispositivo y una posible colaboración de largo plazo.
En este punto lo que debe llamar la atención y funcionar de alarma es que el remitente utiliza un dominio ajeno a Hollyland.
Luego de recibir ese primer contacto, la destinataria respondió el correo con sus tarifas.
Este es el momento en donde el estafador busca consolidar la confianza a través de la negociación.
El supuesto representante acepta la opción valuada en US$300, y además agregan ciertos ítems clave en cualquier negociación comercial: proceso de verificación, brief, panel, revisión de estadísticas y “pago seguro”.
Desde ESET destacan que todos estos términos administrativos hacen que la propuesta parezca formal y verdadera.
Luego, se le solicita a la periodista que continúe la gestión en joinmatchy[.]com/hollyland, a fin de que desde ese portal pueda verificarse el canal, el acuerdo y también el pago.
Estos dos dominios no pertenecen a Hollyland, lo que es un claro indicio de que puede tratarse de una estafa y no de una propuesta comercial real.
Uno de los elementos que hace más convincente esta campaña es la plataforma Matchy, diseñada para parecer un servicio profesional destinado a conectar creadores de contenido con marcas. Su landing presenta un diseño cuidado, métricas sobre campañas, logos de grandes compañías y herramientas que buscan transmitir la sensación de que es una plataforma consolidada
comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.
Entre las propuestas de la plataforma aparece una calculadora de ingresos para estimar cuánto podría ganar un creador, y funciones orientadas a automatizar la negociación de contratos, las colaboraciones y los pagos.
Todos estos elementos, en conjunto, apuntan a las necesidades de quienes trabajan con patrocinios.
Esta plataforma también solicita la URL del canal de YouTube, para recuperar datos públicos del creador y utilizarlos para generar una experiencia aparentemente personalizada.
Este paso es clave dentro de la estrategia: en lugar de encontrarse con una solicitud de contraseña o información sensible, el usuario atraviesa primero una serie de acciones que pueden parecer absolutamente razonables
agrega Micucci.
Se presenta una variante observada durante la investigación llamada Scouty, que conserva el nombre de Hollyland y una invitación a analizar el canal de YouTube de la potencial víctima.
El inicio de sesión y compromiso de cuentas
El recorrido de la estafa cambia cuando Matchy conduce a la creadora de contenido a un inicio de sesión con Google supuestamente destinado a verificar la propiedad del canal.
Hasta ese momento, la interacción gira en torno a una propuesta comercial, el envío de tarifas y la revisión de información pública del canal.
Sin embargo, en esta etapa se solicita acceso a una cuenta que también puede estar vinculada con Gmail, Google Drive, YouTube y otros servicios.
Si bien “Iniciar sesión con Google” es un mecanismo legítimo de autenticación utilizado por miles de plataformas, en este caso la solicitud aparece como parte de una supuesta colaboración comercial gestionada desde un sitio ajeno a los canales oficiales de la marca. Esto hace que el usuario baje la guardia y perciba el acceso solicitado como un paso normal dentro del proceso
advierten desde ESET.
Para entonces, los atacantes ya han construido una sensación de legitimidad mediante correos personalizados, negociaciones sobre tarifas y una plataforma con apariencia profesional.
La combinación de estos elementos puede llevar a que la víctima interprete la solicitud de acceso como una simple verificación de identidad o del canal.
Sin embargo, los casos analizados muestran que esta etapa forma parte del mecanismo utilizado para comprometer cuentas de Google.
Lo que comienza como una aparente propuesta de patrocinio puede terminar exponiendo el acceso a una cuenta que concentra no solo el canal de YouTube, sino también información personal y profesional.
