- Los ciberdelincuentes suplantan marcas globales como Nike, Spotify o Hollyland para atraer a creadores con ofertas de patrocinio personalizadas.
- Utilizan plataformas fraudulentas con diseño profesional, como Matchy o Scouty, para generar confianza antes de solicitar el acceso a la cuenta de Google.
- El objetivo final es el secuestro total del canal mediante la modificación de los métodos de recuperación y el robo de credenciales.
Si te dedicas a crear contenido, seguro que sabes que recibir una propuesta de patrocinio es uno de los momentos más emocionantes. Sin embargo, esa ilusión puede convertirse en una pesadilla en un abrir y cerrar de ojos. Últimamente, ha proliferado una estafa muy sofisticada que va directa al grano: robar cuentas de Google y canales de YouTube aprovechando el deseo de los creadores de crecer profesionalmente.
Estos atacantes no improvisan; montan todo un despliegue que parece sacado de una agencia de marketing real. Utilizan el prestigio de marcas reconocidas a nivel mundial para que el creador baje la guardia, mezclando herramientas profesionales con una ingeniería social milimétrica. El objetivo no es solo entrar en tu correo, sino tomar el control absoluto de tu ecosistema digital, dejándote fuera de tu propia cuenta sin posibilidad de retorno.
El primer anzuelo: el correo que parece perfecto
Todo empieza con un email que, a primera vista, no levanta sospechas. A diferencia del típico spam mal escrito, estos mensajes están superpersonalizados. Los estafadores mencionan vídeos concretos de tu canal, elogian tu estilo y te ofrecen una colaboración remunerada o el envío de productos gratuitos. Por ejemplo, se han detectado casos donde suplantan a Hollyland, una empresa de equipos audiovisuales, contactando a periodistas y creadores en Perú, Japón y países anglosajones.
Aquí es donde tienes que andar con pies de plomo. El primer gran aviso es el dominio del remitente. Aunque el nombre diga «Equipo de Partnerships de X marca», la dirección de correo suele ser ajena al dominio oficial de la empresa. A veces intentan ser listos usando variaciones como marca-collaborate.com, pero si no es la web oficial, ya tienes una bandera roja enorme delante de ti.
Construyendo la confianza a través de la negociación
Si el creador pica el anzuelo y responde con sus tarifas, el estafador no pide la contraseña de inmediato, porque sabe que eso asustaría a cualquiera. En su lugar, entran en una fase de negociación formal. Aceptan los precios, hablan de «briefs», paneles de control, revisión de estadísticas y, sobre todo, mencionan un «pago seguro». Todo este lenguaje administrativo está diseñado para que la víctima sienta que está tratando con una empresa seria.
Para formalizar el acuerdo, te redirigen a una plataforma externa. Nombres como Matchy o Scouty han sido comunes en estas campañas. Estas webs están increíblemente cuidadas: tienen logos de grandes compañías, métricas de campañas ficticias y hasta una calculadora de ingresos para que el creador estime cuánto ganará. Para que la experiencia sea aún más creíble, te piden la URL de tu canal para «analizarlo», extrayendo datos públicos que luego usan para reforzar la personalización del engaño.
El golpe final: el inicio de sesión con Google
Una vez que el creador está convencido y emocionado por el contrato, llega el momento crítico. La plataforma solicita que el usuario haga «Sign in with Google», supuestamente para verificar que realmente es el dueño del canal. Como este es un método de autenticación que usamos en mil sitios legítimos, mucha gente lo hace sin pensar. Pero en este caso, es una trampa de phishing para capturar las credenciales o solicitar permisos abusivos sobre la cuenta.
Cuando el atacante logra entrar, no se limita a publicar un vídeo extraño. Lo primero que hacen es borrar el teléfono y el correo de recuperación del dueño original. Además, sustituyen los códigos de respaldo por los suyos. Esto es lo más grave, ya que deja al creador en una situación desesperada, pues los mecanismos de recuperación de Google han sido alterados por el criminal, haciendo que recuperar el canal sea una misión casi imposible.
Señales de alerta y cómo protegerse
Para no caer en estas redes, lo más inteligente es verificar la propuesta a través de los canales oficiales de la marca (redes sociales verificadas o web oficial). No te fíes solo de que la página web sea bonita o que el trato sea cordial. Asimismo, desconfía profundamente de cualquier solicitud para descargar archivos adjuntos, ejecutar códigos de contrato o iniciar sesión en sitios que no tengan una relación clara y comprobada con la empresa.
- Revisa siempre que el dominio del correo coincida exactamente con la web oficial de la marca.
- No concedas permisos de Google a aplicaciones que no reconozcas o que provengan de sitios web sospechosos.
- Activa la autenticación de dos pasos (2FA) mediante aplicaciones o llaves físicas, evitando el SMS si es posible.
Si sospechas que ya has sido víctima, corre a la sección de seguridad de tu cuenta de Google. Revisa los dispositivos conectados, elimina cualquier acceso desconocido y cambia tu contraseña inmediatamente. Si ves que han modificado tus datos de recuperación, utiliza los formularios oficiales de Google lo antes posible, ya que cada minuto que pasa es una oportunidad para que el atacante consolide su control sobre tu canal y tu información personal.
Este tipo de ataques modulares cambian constantemente de nombre y marca, saltando de Nike a Spotify o cualquier otra empresa top, pero el patrón siempre es el mismo: seducir con dinero y prestigio para luego secuestrar la identidad digital del creador, poniendo en riesgo no solo el canal de YouTube, sino todo el negocio y la privacidad vinculada a esa cuenta de Google.