A ESET descobriu uma campanha de phishing que utiliza propostas de patrocínio falsas para roubar o acesso a contas Google e canais de YouTube de criadores de conteúdos.
A Análise da ESET sobre Esquemas de Falsos Patrocínios
Uma proposta de patrocínio pode ser o primeiro passo para tentar obter acesso à conta Google de um criador de conteúdos. A ESET, maior empresa europeia de cibersegurança, analisou uma campanha que começa com um email personalizado em nome de uma marca conhecida, passa por uma plataforma criada para simular uma negociação comercial e termina numa página falsa de início de sessão no Google. Em Lisboa, a 22 de outubro de 2026, a empresa alertou para a sofisticação desta abordagem, que visa comprometer não só canais de vídeo, mas também e-mails e ficheiros privados.
Engenharia Social e Personalização
O esquema de phishing destaca-se pelo elevado grau de personalização. O termo phishing refere-se a uma técnica de cibercrime onde os atacantes tentam "pescar" dados sensíveis fingindo ser entidades fidedignas. Neste caso, a ESET identificou que os atacantes utilizam referências específicas aos vídeos dos criadores contactados para aumentar a credibilidade do primeiro contacto. Numa campanha analisada, os criminosos fizeram-se passar por representantes da Hollyland, oferecendo equipamento e uma colaboração de longo prazo, criando um cenário de profissionalismo que pode enganar até os utilizadores mais atentos.
Como Funciona a Plataforma Fraudulenta
Depois da fase inicial de negociação por email, o criador é encaminhado pela plataforma para um ambiente digital que simula uma interface de gestão de influenciadores. A ESET detetou que o criador era direcionado para o site joinmatchy.com/hollyland, apresentado como uma ferramenta para gerir a colaboração. Outro domínio identificado com funcionalidades semelhantes foi o matchyjoin.com.
Para avançar, a plataforma solicitava o endereço do canal de YouTube e utilizava informação pública para apresentar dados personalizados sobre o mesmo, como estatísticas de visualizações e número de subscritores. O site incluía ainda funcionalidades simuladas relacionadas com campanhas, contratos, rendimentos e pagamentos, tudo desenhado para que a vítima acreditasse estar perante um processo de negócio legítimo.
O Perigo da Página de Login Falsa do Google
O ponto crítico do ataque ocorre quando a plataforma solicita ao utilizador que confirme a propriedade do canal. Para isso, o criador é encaminhado para uma página que aparenta ser de início de sessão do Google. Segundo a análise da ESET, esta página falsa de autenticação é utilizada para recolher a palavra-passe e, crucialmente, os códigos de autenticação de dois fatores introduzidos pelo utilizador no seu ecrã.
Uma vez na posse destas credenciais, os atacantes podem assumir o controlo total da conta. Isto inclui o acesso a serviços como o Gmail ou o Google Drive, onde podem residir ficheiros confidenciais e contratos. Além disso, a ESET alerta que, após obterem acesso, os atacantes costumam alterar o número de telemóvel e o endereço de email de recuperação, adicionando os seus próprios códigos de recuperação para impedir que o legítimo proprietário consiga retomar o controlo da conta.
Diversificação do Ataque: Nike, Spotify e Hollyland
A investigação da ESET revelou que esta campanha não é exclusiva de uma única marca. Embora a Hollyland tenha sido utilizada em diversos exemplos, os atacantes adaptam a sua identidade conforme necessário. Foram identificadas versões em que os nomes de marcas globais como a Nike e o Spotify são utilizados para atrair os criadores de conteúdos.
Apesar das alterações visuais e de marca, as plataformas partilham funcionalidades e elementos técnicos semelhantes, o que sugere que o grupo de atacantes utiliza uma infraestrutura comum adaptável para visar diferentes nichos de mercado no YouTube e noutras redes sociais.
Conselhos de Segurança e Prevenção Recomendados pela ESET
Para evitar cair nestas armadilhas, a ESET recomenda um conjunto de boas práticas essenciais para qualquer pessoa que trabalhe no ambiente digital, especialmente criadores de conteúdos que lidam frequentemente com propostas externas:
- Verificar o remetente: É fundamental confirmar se o endereço de email corresponde exatamente ao domínio oficial da empresa que alega estar a contactar.
- Confirmar a proposta diretamente com a marca: Utilize os canais oficiais (como redes sociais verificadas ou o site oficial) para validar a colaboração antes de clicar em links.
- Verificar o endereço da plataforma: Nunca assuma que um site é legítimo apenas porque tem um design profissional ou apresenta dados reais do seu canal.
- Atenção ao início de sessão: Confirme sempre se a URL da página de login é efetivamente
accounts.google.comantes de introduzir credenciais. - Proteger a conta: Utilize palavras-passe únicas e fortes, e ative a autenticação de dois fatores. A ESET recomenda ainda o uso de chaves de acesso (passkeys).
O Papel das Passkeys na Proteção
A ESET destaca as chaves de acesso (passkeys) como uma das defesas mais robustas atualmente. Ao contrário das passwords tradicionais, uma passkey utiliza criptografia e autenticação biométrica (como a impressão digital ou reconhecimento facial no telemóvel), tornando quase impossível para um atacante remoto roubar o acesso através de uma página de phishing simples, pois a chave física ou digital vinculada ao dispositivo não pode ser partilhada por engano.
O que Fazer se a Conta for Comprometida
Caso o utilizador suspeite que a sua conta foi comprometida, a rapidez é vital. A ESET aconselha a realização imediata da Verificação de Segurança do Google, revendo eventos recentes, dispositivos ligados e métodos de recuperação. Se o acesso já tiver sido perdido, deve recorrer-se exclusivamente à página oficial de recuperação do Google e evitar a todo o custo voltar a interagir com o site suspeito.
Perguntas Frequentes
Como posso saber se um email de patrocínio no YouTube é real?
Verifique sempre o domínio do remetente. As grandes empresas nunca utilizam serviços gratuitos de email como Gmail ou Outlook para contactos comerciais. Além disso, desconfie de propostas que exijam o login numa plataforma de terceiros para "verificar estatísticas" do canal que já são públicas.
O que é a autenticação de dois fatores e como ajuda contra este esquema da ESET?
A autenticação de dois fatores (2FA) exige um segundo código além da password. Embora os atacantes tentem roubar este código em tempo real, sistemas mais avançados como as passkeys ou chaves de segurança físicas impedem que o código seja inserido em sites fraudulentos, protegendo a conta Google de forma mais eficaz.
É possível recuperar um canal de YouTube roubado por hackers?
Sim, através da página oficial de recuperação de conta do Google. É crucial agir rapidamente antes que o atacante elimine conteúdos ou altere todos os métodos de contacto. A ESET recomenda que todos os criadores mantenham os seus dados de recuperação (email secundário e telemóvel) sempre atualizados.
Comentários
Enviar um comentário