Las propuestas de colaboración entre marcas y creadores de contenido se han convertido en el gancho de una campaña de fraude dirigida a hacerse con cuentas de Google y canales de YouTube.
La firma de ciberseguridad ESET ha analizado varios casos en los que los atacantes suplantan la identidad de compañías como Hollyland, Nike y Spotify y utilizan falsas plataformas de gestión de patrocinios para ganarse la confianza de las víctimas.
El procedimiento comienza con un correo electrónico personalizado dirigido al creador. En uno de los casos investigados, una periodista recibió una supuesta oferta de patrocinio de una persona que afirmaba formar parte del equipo de colaboraciones de Hollyland, fabricante de equipos audiovisuales.
El mensaje incluía referencias concretas a vídeos publicados en su canal de YouTube y proponía el envío de un dispositivo junto a una posible colaboración a largo plazo. Aunque el dominio del remitente no guardaba relación con la empresa, la personalización del correo contribuía a dotar de credibilidad a la propuesta.
Después de responder con sus tarifas, la destinataria recibió instrucciones para acceder a una plataforma denominada Matchy, desde la que supuestamente podría consultar las estadísticas de su canal, revisar el acuerdo y gestionar el pago.
La web reproduce el funcionamiento de un servicio profesional de gestión de campañas. Incluye logotipos de marcas conocidas, métricas, una calculadora de ingresos y herramientas para gestionar contratos y pagos. También solicita la dirección del canal de YouTube y emplea información pública para mostrar datos reales sobre su actividad.
De esta manera, los atacantes no solicitan directamente las credenciales en el primer contacto, sino que reproducen distintas fases de una negociación comercial antes de conducir a la víctima hacia el acceso a su cuenta.
Inicio de sesión con Google
El fraude alcanza su fase crítica cuando la plataforma solicita al creador que inicie sesión con Google para demostrar que es propietario del canal de YouTube. El procedimiento puede resultar habitual para el usuario, ya que numerosos servicios digitales utilizan este sistema de identificación.
ESET señala, sin embargo, que el riesgo depende de la autenticidad de la página y de los permisos solicitados. Un inicio de sesión legítimo comparte inicialmente datos básicos, como el nombre, el correo electrónico o la fotografía del perfil, pero la autorización de permisos adicionales podría permitir que una aplicación administrase el canal o publicase y eliminase contenidos.
Cuando la página de acceso también ha sido falsificada, los atacantes pueden obtener la contraseña y los códigos de verificación. Esto permitiría comprometer la cuenta de Google y acceder potencialmente a otros servicios vinculados, como Gmail o Google Drive.
Una de las creadoras afectadas por una variante de este fraude explicó que los ciberdelincuentes sustituyeron su número de teléfono y el correo electrónico de recuperación e incorporaron nuevos códigos de respaldo, lo que dificultó posteriormente la recuperación de la cuenta.
La amenaza puede tener además consecuencias sobre las comunidades que siguen a estos perfiles. Según el Estudio de Redes Sociales 2025 de IAB Spain, el 40% de los usuarios españoles considera fiables a los influencers que sigue. El control de sus cuentas permitiría a los atacantes aprovechar esa relación de confianza para distribuir nuevas estafas entre sus seguidores.
“Antes de aceptar una propuesta de colaboración, es fundamental verificar que procede realmente de la marca, contactando con ella a través de sus canales oficiales y revisando los dominios y enlaces recibidos. Un diseño profesional o los logotipos de empresas conocidas no garantizan que una web sea legítima”, explica Josep Albors, director de investigación y concienciación de ESET España.
Albors también recomienda revisar los permisos concedidos durante el inicio de sesión con Google, utilizar contraseñas únicas y autenticación en dos factores y comprobar los dispositivos conectados cuando exista alguna sospecha de acceso no autorizado.
