Una oferta de patrocinio que parece real puede terminar en el secuestro completo de una cuenta de Google. Así lo advierte una investigación reciente de ESET Latinoamérica, que documenta una campaña activa de ingeniería social dirigida a creadores de contenido de la región. El esquema combina identidad suplantada, negociación comercial falsa y una plataforma con apariencia profesional para ganarse la confianza de la víctima antes de pedirle que inicie sesión con Google.
El caso analizado por la compañía comienza con un correo enviado a una periodista peruana. El remitente se presenta como parte del equipo de asociaciones de Hollyland, fabricante real de equipos de transmisión inalámbrica. La marca no tiene relación alguna con el mensaje. Los atacantes usan su nombre solo para dar credibilidad a la propuesta, y la empresa ya salió a advertir en redes sociales sobre estos correos apócrifos.
El mensaje llega personalizado, con menciones concretas a videos del canal de la víctima. Esa personalización reduce las sospechas y aumenta la sensación de legitimidad. Después de un primer contacto, la negociación avanza con normalidad: se acuerdan tarifas, se mencionan procesos de verificación y hasta un supuesto «pago seguro». Todo el lenguaje administrativo funciona como cobertura para lo que viene después.
Una plataforma diseñada para parecer confiable
El siguiente paso lleva a la víctima a un sitio llamado Matchy, alojado en dominios ajenos a cualquier marca real. La página imita a un servicio profesional de conexión entre marcas y creadores, con métricas de campañas, logos de empresas reconocidas y hasta una calculadora de ingresos estimados. Nada de eso pertenece a una plataforma legítima de patrocinios.
ESET Latinoamérica identificó variantes del mismo esquema bajo otros nombres, como Scouty, y con logos de compañías como Nike y Spotify. Elementos técnicos repetidos, como el favicon y partes del código fuente, permiten vincular estas variantes a una misma infraestructura, aunque no alcanzan para identificar a un operador específico. Los dominios detectados rotaron entre junio y agosto, un patrón que sugiere que la campaña puede reaparecer bajo nuevas identidades.
La plataforma solicita la URL del canal de YouTube para recuperar datos públicos y generar una experiencia aparentemente personalizada. Recién en una etapa posterior aparece el pedido de iniciar sesión con Google, presentado como una simple verificación de propiedad del canal. Para ese momento, la víctima ya atravesó varios pasos que parecen razonables, y baja la guardia frente a una solicitud que en otro contexto generaría sospechas.
Cuentas comprometidas y el testimonio de una víctima
Una creadora que ingresó a uno de estos sitios relató después cómo detectó accesos no reconocidos en su cuenta, incluidos inicios de sesión desde Rusia y el estado de Virginia, en Estados Unidos. Al revisar la configuración de seguridad, descubrió que terceros habían eliminado su número de teléfono y su correo de recuperación, y que también habían reemplazado sus códigos de respaldo. Estos cambios apuntan directamente a bloquear el camino de recuperación de la cuenta.
El impacto de un secuestro de este tipo va mucho más allá de YouTube. Una cuenta de Google suele estar vinculada a Gmail, Drive y otros servicios, además de contener información de contacto comercial y datos de recuperación de otras plataformas.
No es la primera vez que ocurre
Este tipo de fraude no es nuevo. El Grupo de Análisis de Amenazas de Google (TAG) documentó desde 2019 campañas similares dirigidas a creadores, ejecutadas por actores contratados en foros de habla rusa. En esos casos, los atacantes ofrecían colaboraciones falsas —demos de antivirus, VPN, reproductores de música o videojuegos— y luego distribuían malware capaz de robar cookies de sesión, lo que permitía acceder a la cuenta sin necesidad de la contraseña. Google detectó estas campañas desde fines de 2019 y logró reducir en un 99,6% el volumen de correos de phishing relacionados en Gmail a partir de mayo de 2021. Las cuentas robadas terminaban rebrandeadas para transmisiones en vivo de estafas con criptomonedas o se vendían en mercados clandestinos, con precios de entre 3 y 4.000 dólares según la cantidad de suscriptores.
Reportes más recientes muestran que la técnica sigue vigente y se adapta. En 2024, investigadores de la firma de seguridad Avast identificaron a YouTube como un frente activo para la distribución de phishing y malware como Lumma y RedLine, además de esquemas de inversión falsos. También se detectaron campañas que usan falsas notificaciones de infracción de derechos de autor, tan convincentes que incorporan datos reales del canal —como la foto de perfil, el número de suscriptores y el último video— para construir una página intimidatoria y redirigir a la víctima a un inicio de sesión falso de Google.
La magnitud del problema creció junto con la economía de los creadores
Según reportes de Kaspersky, más de 7 millones de cuentas de streaming quedaron expuestas en campañas de robo de datos durante 2025, principalmente mediante infostealers que capturan contraseñas, cookies y tokens de sesión. Solo entre abril de 2024 y marzo de 2025 se registraron más de 96.000 intentos de ataque que usaron nombres de plataformas de streaming como señuelo.
Cómo protegerse
Frente a este panorama, conviene aplicar algunas reglas simples antes de aceptar cualquier propuesta de colaboración. Verificar la oferta a través de los canales oficiales de la marca es el primer filtro, ya que ninguna empresa seria gestiona acuerdos comerciales desde dominios desconocidos. Revisar con atención la dirección del remitente y la URL de cualquier plataforma también ayuda a detectar la estafa, incluso cuando el diseño del sitio parece profesional. Nunca conviene autorizar el acceso de una aplicación o servicio sin entender exactamente qué permisos está solicitando.
Si una cuenta ya fue comprometida, actuar rápido resulta clave. Los pasos incluyen revisar los eventos de seguridad recientes, los dispositivos con sesión activa y las aplicaciones de terceros vinculadas desde las páginas oficiales de Google, eliminar todo acceso desconocido, cambiar la contraseña de inmediato y activar un método de autenticación adicional. Si se detectan modificaciones en el teléfono, el correo de recuperación o los códigos de respaldo, es necesario recurrir a los mecanismos oficiales de recuperación de cuenta de Google, y evitar volver a ingresar credenciales en el sitio o enlace que originó la sospecha.
