Una campaña de fraude digital está utilizando falsas propuestas de patrocinio para tomar el control de cuentas de Google asociadas a canales de YouTube en Latinoamérica.
Los delincuentes se hacen pasar por representantes de compañías reconocidas y contactan a periodistas, influenciadores y creadores de contenido con ofertas comerciales personalizadas. Luego los conducen hacia plataformas fraudulentas que imitan los sistemas empleados para gestionar campañas publicitarias.
La estrategia se sostiene en tres elementos: la utilización del nombre de una marca real, una propuesta económica aparentemente creíble y un sitio web diseñado para parecer una plataforma profesional.
Una oferta de US$300
En uno de los casos investigados, una periodista peruana recibió un correo en inglés con una supuesta oportunidad de colaboración pagada. La remitente se presentaba como integrante del equipo de asociaciones con creadores de Hollyland, empresa dedicada a fabricar equipos audiovisuales.
La compañía no tenía relación con la propuesta y su identidad estaba siendo utilizada para dar credibilidad al mensaje.
El correo incluía referencias específicas a videos publicados por la periodista, lo que demostraba que los atacantes habían estudiado previamente el canal. La creadora respondió con sus tarifas y el supuesto representante aceptó una colaboración valorada en US$300.
Durante la negociación, los delincuentes incorporaron conceptos habituales en este tipo de acuerdos, como verificación de identidad, revisión de estadísticas, contrato, panel de gestión y pago seguro. La formalidad buscaba reducir las sospechas de la potencial víctima.
La periodista fue invitada posteriormente a continuar el proceso en una plataforma denominada Matchy, alojada en un dominio que no pertenecía a la empresa suplantada.
Plataformas diseñadas para generar confianza
Matchy se presentaba como un servicio destinado a conectar marcas con creadores de contenido. Su página incluía logotipos de importantes compañías, métricas de campañas y herramientas para calcular posibles ingresos.
El sitio también solicitaba la dirección del canal de YouTube y recuperaba información pública para crear una experiencia personalizada. En lugar de pedir inmediatamente una contraseña, guiaba a la víctima por una serie de pasos que parecían normales dentro de una negociación comercial.
“El usuario atraviesa primero una serie de acciones que pueden parecer absolutamente razonables”, explicó Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.
El engaño llegaba a su etapa decisiva cuando la plataforma solicitaba iniciar sesión con Google para supuestamente verificar la propiedad del canal.
Aunque “Iniciar sesión con Google” es una herramienta legítima, en este caso el proceso se realizaba desde una página ajena a los canales oficiales de la marca. Al autorizar el acceso, la víctima podía comprometer no solamente su cuenta de YouTube, sino también Gmail, Google Drive y otros servicios asociados.
Cambiaron los datos de recuperación
Una creadora afectada aseguró que, poco después de iniciar sesión en la plataforma fraudulenta, detectó accesos desde ubicaciones en Rusia y Virginia, Estados Unidos.
Al revisar la configuración de seguridad, descubrió que terceros habían eliminado su número telefónico y su correo de recuperación. Los atacantes agregaron sus propios datos y reemplazaron los códigos de respaldo, dificultando que la verdadera propietaria pudiera recuperar la cuenta.
Para un creador de contenido, el daño puede ir mucho más allá de la pérdida del canal. Una cuenta comprometida puede exponer correos, contactos comerciales, archivos, ingresos, métodos de pago y datos utilizados para acceder a otros servicios.
Variantes con Nike y Spotify
La campaña no utiliza una única identidad. Durante la investigación aparecieron plataformas con nombres como Matchy y Scouty, además de versiones que empleaban sin autorización los logotipos de Nike y Spotify.
Las páginas compartían diseños, textos, metadescripciones y partes de su código fuente. Estas coincidencias sugieren la existencia de una infraestructura común, aunque no permiten identificar a sus responsables.
Los casos conocidos en Perú, Japón y comunidades de habla inglesa indican que la operación no se limita a una región. La rotación de nombres y dominios permite, además, que la misma estafa reaparezca bajo nuevas identidades.
Cómo evitar el robo de una cuenta
Antes de aceptar una propuesta comercial, los creadores deben verificar la identidad del remitente directamente con la marca y revisar cuidadosamente el dominio desde el cual llegó el mensaje.
Un diseño profesional, la inclusión de logotipos conocidos o una oferta personalizada no garantizan que el contacto sea legítimo. También es indispensable revisar los permisos solicitados antes de autorizar aplicaciones o utilizar el inicio de sesión de Google.
Si una cuenta ya fue comprometida, se recomienda ingresar directamente a los sitios oficiales de Google, revisar los dispositivos conectados, eliminar accesos desconocidos y cambiar inmediatamente la contraseña.
También se deben verificar el teléfono, el correo de recuperación, los códigos de respaldo y las aplicaciones de terceros vinculadas. Cuando esos antecedentes hayan sido modificados, será necesario recurrir a los mecanismos oficiales de recuperación de Google y evitar volver a ingresar información en el enlace que originó el incidente.
La entrada Falsas ofertas de patrocinio buscan robar cuentas de YouTube en Latinoamérica se publicó primero en El Periodista.
