Una marca conocida, un pago atractivo y una plataforma que parece profesional: así comienza un engaño dirigido a creadores. La clave está en saber qué revisar antes de iniciar sesión.
Si tienes un canal de YouTube, TikTok, Instagram o simplemente publicas contenido con frecuencia, recibir una propuesta de una marca puede sentirse como ese mensaje que estabas esperando: una colaboración pagada, un producto gratis o la posibilidad de trabajar a largo plazo. El problema es que los ciberdelincuentes también conocen muy bien ese entusiasmo.
ESET Latinoamérica analizó una campaña en la que atacantes se hacen pasar por marcas reales para acercarse a creadores. El contacto parece profesional, habla de videos concretos del canal y propone una negociación normal. No empieza pidiendo una contraseña ni enviando un mensaje claramente sospechoso. Esa es, precisamente, la parte que lo hace convincente.
Primero llega la oferta, después la confianza
En uno de los casos investigados por ESET, una periodista de Perú recibió una supuesta propuesta de colaboración de Hollyland, una empresa real de tecnología audiovisual. El correo incluso mencionaba contenido específico de su canal. La marca, sin embargo, no tenía relación con el mensaje: su nombre había sido utilizado para dar credibilidad al contacto.
La conversación avanzó como cualquier acuerdo comercial. Hubo intercambio de tarifas, referencias a un brief, revisión de estadísticas y un supuesto “pago seguro”. Luego apareció una plataforma con métricas, logos y herramientas para creadores. Pero había una señal sencilla que podía cambiarlo todo: el dominio de la página no pertenecía a la empresa que supuestamente hacía la oferta.
El momento clave: “Inicia sesión con Google”
Después de varios pasos que parecían normales, la plataforma pedía iniciar sesión con Google para “verificar” la propiedad del canal. El botón, por sí solo, no es extraño: miles de servicios legítimos utilizan este sistema. La diferencia está en quién lo solicita y desde qué página.
Según ESET, en estos casos el acceso aparecía dentro de sitios ajenos a los canales oficiales de la marca. Si el usuario avanzaba, no solo podía poner en riesgo YouTube. Una misma cuenta de Google puede estar conectada con Gmail, Drive, contactos, archivos, métodos de recuperación y otras herramientas utilizadas para trabajar o recibir ingresos.
¿Cómo saber si una colaboración es real?
• Mira el correo completo, no solo el nombre. Revisa si el dominio del remitente coincide con el sitio oficial.
• Comprueba la propuesta por otra vía. Busca la web o las redes verificadas de la empresa y confirma el contacto.
• No confíes solo en el diseño. Una página bonita, con logos y estadísticas, también puede ser falsa.
• Lee los permisos antes de aceptar. Si una web pide iniciar sesión con Google, revisa qué acceso solicita y para qué.
¿Y si ya hiciste clic?
La recomendación de ESET es actuar rápido, pero con calma: entrar directamente a la página oficial de Google, revisar los inicios de sesión recientes y los dispositivos conectados, comprobar los datos de recuperación y eliminar aplicaciones o accesos que no reconozcas. También conviene cambiar la contraseña y activar un método adicional de autenticación.
La investigación encontró variantes que usaban nombres y logos de compañías como Nike y Spotify, por lo que el engaño puede cambiar de apariencia. La regla útil para cualquier creador es simple: una colaboración no es confiable solo porque se ve profesional. Antes de entregar acceso a una cuenta, vale la pena verificar quién está realmente detrás de la propuesta.
Be the first to comment