Golpe de falsa parceria de marca mira criadores do YouTube para roubar contas Google
Criminosos se passam por marcas conhecidas (como Nike, Spotify e Hollyland) e oferecem parcerias pagas a criadores de conteúdo, levando-os a um site falso que imita uma plataforma profissional de colaborações. Ao autenticar com Google nesse site, a vítima tem a senha e o código de verificação capturados em tempo real, perde a conta e os golpistas trocam e-mail e telefone de recuperação para travar o acesso do dono original.
A isca é uma proposta de patrocínio bem elaborada: o e-mail cita vídeos específicos do canal, oferece produtos e contratos de longo prazo, e direciona o criador a um site com visual profissional, métricas e logos de marcas reais para parecer uma plataforma legítima de parcerias entre marcas e influenciadores. Esse nível de personalização é o que diferencia o golpe de um spam genérico — ele foi desenhado especificamente para parecer uma oportunidade de negócio real para quem vive de monetizar conteúdo.
A etapa decisiva é a solicitação de login via "Sign in with Google", apresentada como simples verificação de propriedade do canal. Como esse mecanismo é familiar e normalmente seguro, a vítima baixa a guarda. Só que a página de autenticação é falsa: ela captura tanto a senha quanto o código de verificação de uso único digitado pela vítima, repassando-os em tempo real para o atacante, que os usa imediatamente para entrar na conta Google verdadeira — um phishing adversary-in-the-middle que neutraliza até contas com 2FA baseado em código.
Uma vez dentro, os golpistas agem rápido para travar o acesso: trocam o e-mail e telefone de recuperação da conta, o que bloqueia qualquer tentativa de recuperação pelo dono original. A partir daí eles têm acesso a Gmail, Google Drive e ao próprio canal do YouTube, podendo publicar vídeos fraudulentos, apagar conteúdo ou usar o canal comprometido para espalhar o mesmo golpe a outros criadores, explorando a audiência e a credibilidade da vítima.
Para se prevenir, criadores devem sempre verificar qualquer proposta de parceria por um canal de contato oficial da marca, obtido de forma independente (site institucional, não o link enviado no e-mail), e desconfiar de qualquer verificação de propriedade de canal que exija login fora do próprio YouTube Studio. Antes de autenticar em qualquer página, é essencial conferir se o domínio é exatamente accounts.google.com e revisar as permissões solicitadas. Como defesa adicional, usar uma chave de segurança física (FIDO2/passkey) em vez de código por SMS ou app torna o phishing de credenciais ineficaz, e, em caso de suspeita de comprometimento, o Google Security Checkup permite revisar e revogar sessões e aplicativos conectados rapidamente.