Uma proposta de patrocínio a um criador de conteúdos pode, para além de poder ser falsa, ser um primeiro passo para obter acesso à conta Google desse criador de conteúdos. Uma campanha que começa com um email personalizado em nome de uma marca conhecida, passa por uma plataforma criada para simular uma negociação comercial e termina numa página falsa de início de sessão do Google, revelou a empresa de cibersegurança, ESET.
Proposta de colaboração como ponto de partida
A análise da ESET revelou que o esquema passa por se fazer passar por marcas conhecidas com envio de emails personalizados, com referências específicas aos vídeos dos criadores contactados. Numa das situações analisadas pela ESET, os atacantes fizeram-se passar por representantes da Hollyland, com oferta de equipamento e uma possível colaboração de longo prazo. Depois da negociação, o criador de conteúdos era encaminhado para uma plataforma onde, alegadamente, seriam verificadas as estatísticas do canal, o contrato e o pagamento.
Para avançar, a plataforma solicitava o endereço do canal de YouTube e utilizava informação pública para apresentar dados personalizados sobre o mesmo. O site incluía ainda funcionalidades relacionadas com campanhas, contratos, rendimentos e pagamentos.
Plataforma conduz a falso início de sessão
O criador de conteúdos era encaminhado para o site joinmatchy.com/hollyland, apresentado como uma plataforma para gerir a colaboração. Mas a ESET referiu que também foi identificado o domínio matchyjoin.com, com funcionalidades semelhantes.
Depois de consultar os dados do canal, a plataforma conduzia o utilizador para uma página que aparentava ser de início de sessão do Google, apresentada como necessária para confirmar a propriedade do canal de YouTube.
Uma página falsa de autenticação é utilizada para recolher a palavra-passe e os códigos de autenticação introduzidos pelo utilizador. Assim, o acesso à conta Google pode permitir aos atacantes assumir o controlo do canal de YouTube e aceder a outros serviços associados, como o Gmail ou o Google Drive, além de alterar os métodos de recuperação.
Depois de obterem acesso à conta, os atacantes podem alterar o número de telefone e o endereço de email de recuperação e adicionar os seus próprios códigos de recuperação, dificultando que o legítimo proprietário volte a recuperar o acesso.
Diferentes marcas, mas a mesma abordagem
A ESET indicou que campanha não está limitada à Hollyland, pois identificou versões em que os atacantes utilizam também nomes de marcas como Nike e Spotify e diferentes domínios, adaptando a identidade utilizada no contacto.
Apesar das alterações, as plataformas partilham funcionalidades e elementos técnicos semelhantes, permitindo utilizar a mesma abordagem com diferentes marcas e criadores.
Como verificar uma proposta de patrocínio
Antes de aceitar uma proposta de colaboração, é importante:
- Verificar o remetente: confirmar se o endereço de email corresponde ao domínio oficial da empresa.
- Confirmar a proposta diretamente com a marca: utilizar os canais oficiais da empresa antes de avançar com a colaboração.
- Verificar o endereço da plataforma: não assumir que um site é legítimo apenas porque apresenta o nome da marca ou dados reais do canal.
- Ter atenção ao início de sessão: confirmar que a página pertence efetivamente ao Google antes de introduzir credenciais.
- Proteger a conta: utilizar uma palavra-passe forte e única e ativar a autenticação de dois fatores ou, quando disponível, uma chave de acesso (passkey).
No caso de uma conta ser comprometida, o utilizador deve agir rapidamente: realizar a Verificação de Segurança do Google, rever os eventos de segurança, os dispositivos, os métodos de recuperação e os acessos de terceiros, remover elementos desconhecidos, alterar a palavra-passe e ativar a autenticação de dois fatores.
Se já não conseguir aceder à conta, deve utilizar a página oficial de recuperação do Google e evitar voltar ao site suspeito ou introduzir novamente as credenciais.
