O uso do nome de uma marca reconhecida mundialmente, uma proposta de patrocínio que parece verdadeira e uma plataforma com design e ferramentas profissionais são os três pilares de uma campanha ativa. Os golpistas se passam por marcas conhecidas para dar credibilidade a propostas de parceria e patrocínio que, na realidade, fazem parte de um esquema criado para roubar contas.
A seguir, vamos traçar o caminho completo desse esquema, que utiliza o nome da Hollyland, empresa legítima especializada na fabricação de equipamentos de transmissão sem fio e soluções audiovisuais, para enganar possíveis vítimas. Do primeiro contato e da negociação de uma suposta parceria comercial até o pedido para fazer login com o Google, vamos analisar como funciona esse golpe, que pode terminar no roubo da conta.
Além disso, vamos examinar diferentes variações dessa mesma estratégia, nas quais os criminosos trocam nomes, domínios e marcas para escapar da detecção, e vamos apontar os principais sinais de alerta que ajudam a identificar o golpe antes de cair na armadilha.
Primeiro, um e-mail personalizado
O golpe começa com um e-mail inicial contendo uma suposta proposta comercial. No caso analisado, uma jornalista do Peru recebeu uma "Paid collaboration opportunity" ("oportunidade de colaboração paga") de uma remetente que se apresentava como "Brandi", da equipe de Creator Partnerships (parcerias com criadores) da Hollyland.
A marca alertou em suas redes sociais sobre esse tipo de e-mail falso enviado em seu nome, e também detalhou ali seus canais de comunicação oficiais.
Como mostra a Imagem 1, a mensagem era altamente personalizada, com referências específicas a vídeos do canal do YouTube da vítima, a quem ofereciam um equipamento e uma possível parceria de longo prazo. Nesse momento, o que deve chamar atenção e funcionar como sinal de alerta é que a remetente usa um domínio que não pertence à Hollyland.
A negociação que consolida a confiança
Depois de receber esse primeiro contato, a destinatária respondeu ao e-mail informando seus valores. E é aqui que chega o momento em que o golpista busca consolidar a confiança por meio da negociação.
Como mostra a Imagem 2, o suposto representante aceita a proposta avaliada em US$ 300 (cerca de R$ 1.530) e, além disso, já inclui alguns itens típicos de qualquer negociação comercial: processo de verificação, briefing, painel, análise de estatísticas e "pagamento seguro". Todos esses termos administrativos fazem a proposta parecer formal e legítima.
Além disso, ele pede para a jornalista continuar o processo em joinmatchy[.]com/hollyland, site pelo qual, segundo ele, seria possível verificar o canal, o acordo e também o pagamento. Nenhum desses dois domínios pertence à Hollyland, o que já é um indício claro de que pode se tratar de um golpe, e não de uma proposta comercial real.
Matchy: uma plataforma construída para parecer legítima
Um dos elementos que torna essa campanha ainda mais convincente é a plataforma Matchy, criada para parecer um serviço profissional dedicado a conectar criadores de conteúdo com marcas. Sua landing page tem um design caprichado, métricas de campanhas, logotipos de grandes empresas e ferramentas que buscam passar a sensação de que se trata de uma plataforma consolidada no mercado.
Entre suas propostas, aparece uma calculadora de ganhos para estimar quanto um criador poderia faturar, além de funções voltadas para automatizar a negociação de contratos, parcerias e pagamentos. Todos esses elementos, em conjunto, atendem às necessidades de quem trabalha com patrocínios.
Essa plataforma também pede a URL do canal do YouTube, para coletar dados públicos do criador e usá-los na criação de uma experiência aparentemente personalizada. Esse passo é fundamental dentro da estratégia: em vez de se deparar logo de cara com um pedido de senha ou de informações sensíveis, o usuário passa antes por uma série de ações que podem parecer perfeitamente razoáveis.
Na Imagem 3, é possível ver uma variante identificada durante a investigação, chamada Scouty, que mantém o nome da Hollyland e o convite para analisar o canal do YouTube da possível vítima.
O momento decisivo: "Sign in with Google"
O rumo do golpe muda quando o Matchy leva o criador a fazer login com o Google, supostamente para verificar a propriedade do canal. Até esse momento, toda a interação girava em torno de uma proposta comercial, do envio de valores e da análise de informações públicas do canal. Porém, nessa etapa, é solicitado acesso a uma conta que também pode estar vinculada ao Gmail, Google Drive, YouTube e outros serviços.
Embora "fazer login com o Google" seja um mecanismo de autenticação legítimo, usado por milhares de plataformas, nesse caso o pedido surge como parte de uma suposta parceria comercial conduzida em um site que não tem relação com os canais oficiais da marca. Isso faz com que o usuário fique menos atento e enxergue o acesso solicitado como uma etapa normal do processo.
A essa altura, os golpistas já construíram uma sensação de legitimidade por meio de e-mails personalizados, negociações de valores e uma plataforma com aparência profissional. A combinação desses elementos pode levar a vítima a interpretar o pedido de acesso apenas como uma simples verificação de identidade ou do canal.
No entanto, os casos analisados mostram que essa etapa faz parte do mecanismo usado para roubar contas do Google. O que começou como uma aparente proposta de patrocínio pode acabar expondo o acesso a uma conta que concentra não só o canal do YouTube, mas também informações pessoais, métodos de recuperação e outros serviços associados ao criador.
A consequência: uma conta roubada
O depoimento de uma vítima que acessou o site joinmatchy[.]com permite entender na prática as consequências dessa campanha. Segundo ela relatou, fez login várias vezes durante o processo e, pouco tempo depois, começou a notar atividades estranhas na sua conta do Google, entre elas acessos registrados na Rússia e no estado americano da Virgínia.
Mas o que mais preocupou não foram apenas os alertas de login. Ao revisar as configurações de segurança, ela descobriu que terceiros tinham feito alterações justamente para tirá-la do controle da própria conta: removeram seu número de telefone e seu e-mail de recuperação, adicionaram informações próprias e até substituíram os códigos de backup.
Por que essas mudanças são tão graves? Porque afetam diretamente os mecanismos que permitem recuperar uma conta quando o dono perde o acesso a ela. Assim, esse relato público, junto com as capturas de tela compartilhadas, ajuda a reconstruir o desfecho de todo o processo: uma proposta de parceria aparentemente legítima acabou resultando na perda de controle de uma conta do Google.
E, para um criador de conteúdo, o impacto vai muito além do Gmail. Uma conta roubada pode se tornar a porta de entrada para o canal do YouTube e outros serviços vinculados, além de expor informações usadas para recuperar ou proteger essas contas.
Uma campanha global, direcionada e modular
O caso da Hollyland não se limita a uma única marca nem a um único domínio. Durante a investigação, surgiram variantes que usam nomes e logotipos de outras empresas, como Nike e Spotify, e a infraestrutura identificada alterna entre nomes como Matchy e Scouty. As semelhanças sugerem um esquema modular, que mantém alguns componentes fixos e muda apenas a identidade usada para entrar em contato com cada criador.
Além das coincidências no design e nos textos, também foram observados elementos técnicos que se repetem, como o favicon, a metadescrição e partes do código-fonte. O funcionamento geral dos sites e a forma como apresentam as supostas oportunidades de parceria também seguem o mesmo padrão. Essas coincidências permitem relacionar as diferentes variantes a uma mesma infraestrutura ou campanha, mas não são suficientes, por si só, para identificar um operador específico.
A escolha dos alvos também parece ser premeditada, já que os e-mails são personalizados e direcionados a criadores específicos. Casos documentados no Peru, no Japão e em comunidades de língua inglesa mostram que o alcance dessa campanha não se restringe a um único mercado.
Além disso, a troca de domínios e nomes observada entre junho e agosto acrescenta mais uma peça a esse padrão. Se a infraestrutura mudar novamente, é possível que a mesma estratégia volte a aparecer sob uma nova identidade.
Embora ainda não existam relatos confirmados de vítimas no Brasil, a natureza global e modular dessa campanha sugere que criadores de conteúdo brasileiros também podem estar entre os alvos, o que reforça a importância de ficar atento aos sinais de alerta.
Por que os criadores de conteúdo são um alvo valioso
Para um criador de conteúdo, a conta do Google pode representar muito mais do que o acesso a um canal do YouTube. Dependendo de como está configurado o ecossistema digital dele, essa conta pode estar vinculada ao e-mail, a contatos comerciais, arquivos, informações de recuperação, serviços usados para gerenciar o negócio e até contas relacionadas à sua fonte de renda.
Assumir o controle da conta de um criador pode dar aos cibercriminosos muito mais do que a possibilidade de publicar conteúdo. Eles podem usar esse acesso para alterar os métodos de recuperação, bloquear o dono legítimo, acessar informações privadas ou até se passar pelo criador para entrar em contato com marcas, seguidores e outros parceiros. E não para por aí: uma conta comprometida também pode virar uma plataforma para espalhar links maliciosos e divulgar outros golpes.
Leia mais: Por que os influencers digitais são um alvo interessante para os cibercriminosos?
Como verificar e o que fazer se sua conta for comprometida
Essa campanha mostra como uma suposta proposta de parceria pode esconder uma tentativa de roubo de conta. Por isso, antes de seguir em frente, fique atento a alguns sinais de alerta:
- Confirme a proposta por um canal oficial: se uma marca entrar em contato oferecendo um patrocínio, procure os canais oficiais dela e verifique se a proposta e quem a enviou são de fato legítimos.
- Verifique os domínios: preste atenção ao endereço de e-mail do remetente e ao domínio da plataforma para a qual você for direcionado. Um site com design profissional ou que use o nome de uma marca conhecida não é garantia de que seja oficial.
- Não autorize aplicativos que você não reconhece: antes de fazer login ou conceder permissões, confira qual serviço está sendo autorizado e que tipo de acesso ele está pedindo.
Agora, o que fazer se a conta já foi comprometida? O mais importante é agir rápido, porque cada segundo conta.
Primeiro, acesse as páginas oficiais do Google e revise as atividades de segurança recentes, os dispositivos com acesso à conta, os dados de recuperação e os aplicativos ou serviços de terceiros vinculados a ela. Remova qualquer acesso que você não reconheça, troque a senha imediatamente e garanta que exista um método de autenticação adicional ativado.
Se você encontrar alterações que não fez (número de telefone, e-mail de recuperação ou códigos de backup modificados), use os mecanismos oficiais de recuperação de conta do Google. E, o mais importante, não digite seus dados de login nem autorize nenhum acesso a partir do site ou link que gerou a suspeita de golpe.
