El uso del nombre de una marca reconocida a nivel global, una propuesta de patrocinio que parece real y una plataforma con diseño y herramientas profesionales son los tres pilares de una campaña activa. Los atacantes suplantan la identidad de marcas reconocidas para dar credibilidad a propuestas de colaboración y patrocinio que, en realidad, forman parte de una campaña destinada a robar cuentas.
A continuación, trazaremos el recorrido completo de esta operación, que utiliza el nombre de Hollyland, una empresa legítima dedicada a la fabricación de equipos de transmisión inalámbrica y soluciones audiovisuales, para engañar a sus potenciales víctimas. Desde el primer contacto y la negociación de una supuesta colaboración comercial hasta la solicitud de iniciar sesión con Google, analizaremos cómo opera este esquema, que puede terminar con el secuestro de la cuenta.
Además, examinaremos distintas variantes de esta misma estrategia, en las que los actores maliciosos cambian nombres, dominios y marcas para evadir la detección, y repasaremos las principales señales de alerta que permiten identificar el engaño antes de caer en la trampa.
Primero, un correo personalizado
La estafa comienza con un correo inicial con una supuesta propuesta comercial. En el caso analizado una periodista del Perú recibió una “Paid collaboration opportunity” y el remitente se presentaba como “Brandi”, del equipo de Creator Partnerships de Hollyland.
La marca advirtió en sus redes sociales sobre estos tipos de correos falsos que fueron enviados en su nombre, en donde también detalla sus canales de comunicación oficiales.
Tal como se evidencia en la Imagen 1, el mensaje estaba superpersonalizado con referencias concretas a videos del canal de YouTube de la víctima a la que le ofrecían un dispositivo y una posible colaboración de largo plazo. En este punto lo que debe llamar la atención y funcionar de alarma es que el remitente utiliza un dominio ajeno a Hollyland.
La negociación que consolida la confianza
Luego de recibir ese primer contacto, la destinataria respondió el correo con sus tarifas. Y aquí llega el momento en donde el estafador busca consolidar la confianza a través de la negociación.
Tal como se ve en la imagen 2, el supuesto representante acepta la opción valuada en US$300, y además ya agregan ciertos ítems clave en cualquier negociación comercial: proceso de verificación, brief, panel, revisión de estadísticas y “pago seguro”. Todos estos términos administrativos hacen que la propuesta parezca formal y verdadera.
Además, le solicita a la periodista que continúe la gestión en joinmatchy[.]com/hollyland, a fin de que desde ese portal pueda verificarse el canal, el acuerdo y también el pago. Estos dos dominios no pertenecen a Hollyland, claro indicio de que puede tratarse de una estafa y no de una propuesta comercial real.
Matchy: una plataforma construida para parecer legítima
Uno de los elementos que hace más convincente esta campaña es la plataforma Matchy, diseñada para parecer un servicio profesional destinado a conectar creadores de contenido con marcas. Su landing presenta un diseño cuidado, métricas sobre campañas, logos de grandes compañías y herramientas que buscan transmitir la sensación de que es una plataforma consolidada.
Entre sus propuestas aparece una calculadora de ingresos para estimar cuánto podría ganar un creador, y funciones orientadas a automatizar la negociación de contratos, las colaboraciones y los pagos. Todos estos elementos, en conjunto, apuntan a las necesidades de quienes trabajan con patrocinios.
Esta plataforma también solicita la URL del canal de YouTube, para recuperar datos públicos del creador y utilizarlos para generar una experiencia aparentemente personalizada. Este paso es clave dentro de la estrategia: en lugar de encontrarse con una solicitud de contraseña o información sensible, el usuario atraviesa primero una serie de acciones que pueden parecer absolutamente razonables.
En la imagen 3, se presenta una variante observada durante la investigación llamada Scouty, que conserva el nombre de Hollyland y la invitación a analizar el canal de YouTube de la potencial víctima.
El momento decisivo: “Sign in with Google”
El recorrido de la estafa cambia cuando Matchy conduce al creador a un inicio de sesión con Google supuestamente destinado a verificar la propiedad del canal. Hasta ese momento, la interacción gira en torno a una propuesta comercial, el envío de tarifas y la revisión de información pública del canal. Sin embargo, en esta etapa se solicita acceso a una cuenta que también puede estar vinculada con Gmail, Google Drive, YouTube y otros servicios.
Si bien “Iniciar sesión con Google” es un mecanismo legítimo de autenticación utilizado por miles de plataformas, en este caso la solicitud aparece como parte de una supuesta colaboración comercial gestionada desde un sitio ajeno a los canales oficiales de la marca. Esto hace que el usuario baje la guardia y perciba el acceso solicitado como un paso normal dentro del proceso.
Para entonces, los atacantes ya han construido una sensación de legitimidad mediante correos personalizados, negociaciones sobre tarifas y una plataforma con apariencia profesional. La combinación de estos elementos puede llevar a que la víctima interprete la solicitud de acceso como una simple verificación de identidad o del canal.
Sin embargo, los casos analizados muestran que esta etapa forma parte del mecanismo utilizado para comprometer cuentas de Google. Lo que comenzó como una aparente propuesta de patrocinio puede terminar exponiendo el acceso a una cuenta que concentra no solo el canal de YouTube, sino también información personal, métodos de recuperación y otros servicios asociados al creador.
La consecuencia: una cuenta tomada
El testimonio de una víctima que ingresó en joinmatchy[.]com permite observar las consecuencias concretas de la campaña. Según describió, inició sesión varias veces durante el proceso y, poco después, comenzó a detectar actividad que no reconocía en su cuenta de Google. Al punto que entre los accesos que observó figuraban ubicaciones en Rusia y Virginia.
Pero lo más preocupante no fueron solamente las alertas de inicio de sesión. Al revisar la configuración de seguridad, descubrió que terceros habían realizado cambios destinados a desplazarla del control de su propia cuenta: eliminaron su número de teléfono y su correo electrónico de recuperación, agregaron información propia y hasta reemplazaron los códigos de respaldo.
¿Por qué son tan relevantes estos cambios? Porque afectan directamente los mecanismos que permiten recuperar una cuenta cuando el propietario pierde el acceso. Así, este testimonio público y las capturas compartidas permiten reconstruir la consecuencia del recorrido: una propuesta de colaboración aparentemente legítima terminó asociada con la pérdida de control de una cuenta de Google.
Y para un creador de contenido, el impacto potencial va mucho más allá de Gmail. La cuenta comprometida puede convertirse en la puerta de entrada al canal de YouTube y a otros servicios vinculados, además de exponer información utilizada para recuperar o proteger esas cuentas.
Una campaña global, dirigida y modular
El caso de Hollyland no se limita a una única marca ni dominio. Durante la investigación aparecieron variantes que utilizan los nombres y logos de otras compañías (Nike y Spotify), y la infraestructura observada alterna entre nombres como Matchy y Scouty. Las similitudes sugieren un esquema modular que mantiene determinados componentes y cambia la identidad utilizada para contactar a cada creador.
Además de las coincidencias en diseño y textos, se observaron elementos técnicos repetidos, como el favicon, la metadescripción y partes del código fuente. También se repite el funcionamiento general de los sitios y la forma en que presentan las supuestas oportunidades de colaboración. Estas coincidencias permiten vincular las distintas variantes con una misma infraestructura o campaña, pero no identificar por sí solas a un operador concreto.
La selección de objetivos también parece ser premeditada, ya que los correos están personalizados y dirigidos a creadores específicos. Casos documentados en Perú, Japón y comunidades de habla inglesa muestran a su vez que el alcance no se limita a un único mercado.
Por otra parte, la rotación de dominios y nombres observada entre junio y agosto añade otra pieza al patrón. Si la infraestructura vuelve a cambiar, es posible que la misma estrategia reaparezca bajo una nueva identidad.
Por qué los creadores son un objetivo valioso
Para un creador de contenido, su cuenta de Google puede ser mucho más que el acceso a un canal de YouTube. Según cómo esté configurado su ecosistema digital, puede vincularse al correo electrónico, contactos comerciales, archivos, información de recuperación, servicios utilizados para gestionar el negocio y hasta cuentas relacionadas con sus ingresos.
Tomar el control de una cuenta de creador puede ofrecer a los ciberatacantes mucho más que la posibilidad de publicar contenido. Pueden utilizar este acceso para cambiar los métodos de recuperación, bloquear al propietario legítimo, acceder a información privada o hacerse pasar por el creador para contactar a marcas, seguidores u otros colaboradores. Hay más: una cuenta comprometida puede convertirse en una plataforma para distribuir enlaces maliciosos y promocionar otras estafas.
Lectura relacionada: ¿Por qué los influencers son blanco de los cibercriminales?
Cómo verificar y qué hacer si la cuenta fue comprometida
Esta campaña expone cómo una supuesta propuesta de colaboración puede esconder un intento de compromiso de cuenta. Por eso, antes de avanzar presta atención a ciertas señales de alerta:
- Confirma la propuesta por un canal oficial: si una marca te contacta para ofrecer un patrocinio, busca sus canales oficiales y verifica que la propuesta y la persona que la envió sean legítimas.
- Revisa los dominios: presta atención a la dirección del remitente y al dominio de la plataforma a la que te envíen. Que una página tenga un diseño profesional o utilice el nombre de una marca conocida no demuestra que sea oficial.
- No autorices aplicaciones que no reconozcas: antes de iniciar sesión o conceder permisos, comprueba qué servicio estás autorizando y qué acceso solicita.
Ahora bien, ¿qué hacer si la cuenta ya fue comprometida? Es clave actuar rápido, porque cada segundo cuenta.
Primero, accede a las páginas oficiales de Google, y revisa los eventos de seguridad recientes, los dispositivos con acceso, los datos de recuperación y las aplicaciones o servicios de terceros vinculados a la cuenta. Debes eliminar cualquier acceso que no reconozcas, cambiar la contraseña de inmediato, y asegurarte de contar con un método de autenticación adicional.
Si encuentras cambios que no realizaste (teléfono, correo de recuperación o códigos de respaldo modificados), debes utilizar los mecanismos oficiales de recuperación de Google. Y, sobre todo, no vuelvas a ingresar tus credenciales ni autorices accesos desde el sitio o enlace que originó la sospecha de compromiso.
Para profundizar en los riesgos que enfrentan los creadores de contenido, escucha nuestro episodio de Conexión Segura, el podcast de ESET Latinoamérica, "Ciberseguridad para influencers: ¿por qué los atacan?".
