Recibir una propuesta de colaboración de una marca conocida es una situación habitual para muchos creadores de contenido. Un correo personalizado, una oferta de patrocinio remunerado y una breve negociación sobre las tarifas pueden parecer los primeros pasos de un acuerdo comercial legítimo. Sin embargo, este procedimiento está siendo utilizado por ciberdelincuentes para hacerse con cuentas de Google y canales de YouTube.

ESET, compañía líder en ciberseguridad, ha analizado una campaña de fraude que suplanta la identidad de marcas como Hollyland, Nike y Spotify para engañar a creadores de contenido mediante falsas propuestas de colaboración. Los atacantes emplean plataformas que imitan servicios profesionales de gestión de patrocinios y conducen a las víctimas hasta un proceso de inicio de sesión con Google.

Esta amenaza cobra especial relevancia en un contexto en el que los creadores mantienen una relación de confianza con sus comunidades. Según el Estudio de Redes Sociales 2025 de IAB Spain, el 40% de los usuarios españoles considera fiables a los influencers que sigue. Una confianza que los delincuentes pueden aprovechar si consiguen hacerse con el control de sus cuentas para difundir nuevas estafas entre sus seguidores.

De una oferta de colaboración a una plataforma fraudulenta

La campaña comienza con un correo electrónico personalizado dirigido a un creador de contenido. En uno de los casos investigados por ESET, una periodista recibió una supuesta oferta de patrocinio de una persona que afirmaba pertenecer al equipo de colaboraciones de Hollyland, fabricante de equipos audiovisuales.

El mensaje incluía referencias concretas a vídeos publicados en su canal de YouTube y ofrecía la posibilidad de recibir un dispositivo de la marca y establecer una colaboración a largo plazo. Aunque el dominio del remitente no guardaba relación con la compañía legítima, la personalización del correo contribuía a que la propuesta resultase creíble.

Tras responder con sus tarifas, la destinataria recibió instrucciones para acceder a una plataforma denominada Matchy, donde supuestamente podría verificar las estadísticas de su canal, revisar el acuerdo y gestionar el pago.

A diferencia de otros ataques de phishing, esta campaña no solicita directamente las contraseñas. Primero conduce a las víctimas por una serie de pasos que reproducen una negociación comercial real. La web fraudulenta presenta un diseño profesional, logotipos de grandes compañías, métricas de campañas y una calculadora para estimar los ingresos de la colaboración. También simula ofrecer herramientas para negociar contratos y gestionar pagos.

Además, solicita la dirección del canal de YouTube y utiliza información pública para mostrar datos personalizados sobre su actividad. De esta forma, el creador encuentra referencias reales a su canal dentro de la plataforma, lo que puede reforzar su confianza en el supuesto servicio.

Una falsa verificación de Google que puede dar acceso a toda la cuenta

El momento crucial llega cuando la plataforma solicita al creador que inicie sesión con Google para acreditar que es el propietario del canal de YouTube. Este procedimiento puede resultar familiar, ya que numerosos servicios legítimos permiten identificarse mediante una cuenta de Google.

Sin embargo, ESET advierte de que el peligro depende de la autenticidad de la página y de los permisos solicitados. Un inicio de sesión legítimo comparte por defecto información básica, como el nombre, el correo electrónico y la fotografía del perfil. No obstante, si el usuario autoriza permisos adicionales, una aplicación podría llegar a gestionar su canal, incluyendo la publicación o eliminación de vídeos.

El riesgo es mayor cuando se trata de una página falsificada diseñada para capturar la contraseña y los códigos de verificación. En ese caso, los delincuentes pueden comprometer la cuenta de Google y acceder potencialmente a servicios asociados, como Gmail o Google Drive.

Una de las creadoras afectadas por una variante de este fraude relató que los atacantes sustituyeron su número de teléfono y correo electrónico de recuperación por otros bajo su control y añadieron nuevos códigos de respaldo, dificultando que pudiera recuperar el acceso.

“Antes de aceptar una propuesta de colaboración, es fundamental verificar que procede realmente de la marca, contactando con ella a través de sus canales oficiales y revisando los dominios y enlaces recibidos. Un diseño profesional o los logotipos de empresas conocidas no garantizan que una web sea legítima. También debemos prestar atención a los permisos que concedemos al iniciar sesión con Google, ya que verificar un canal no debería requerir acceso para administrarlo. Además, recomendamos utilizar contraseñas únicas y autenticación en dos factores y, ante cualquier sospecha de acceso no autorizado, revisar los dispositivos conectados y recurrir a los procedimientos oficiales de recuperación de cuentas”, concluye Josep Albors, director de Investigación y Concienciación de ESET España.