Campanha de phishing usa falsas propostas de patrocínio para sequestrar contas de YouTubers
Pesquisadores da ESET identificaram uma campanha de phishing que mira criadores de conteúdo do YouTube com propostas falsas de patrocínio de marcas como Nike, Spotify e Hollyland. Os golpistas constroem confiança ao longo de uma negociação simulada antes de induzir a vítima a conceder acesso à sua conta Google via um site fraudulento com métricas de campanha e calculadora de cachê. O objetivo final é o sequestro da conta e do canal, não apenas o roubo de senha.
A campanha identificada pela ESET foge do phishing genérico de email em massa: os golpistas personalizam cada abordagem citando o nome do canal e o nicho de conteúdo da vítima, o que aumenta drasticamente a taxa de resposta em comparação com iscas padronizadas. A proposta de patrocínio de marcas reconhecidas funciona como gancho porque parcerias pagas são parte normal da rotina de um criador de conteúdo de porte médio, reduzindo o estranhamento inicial.
O funil do ataque é construído em etapas para minimizar desconfiança: depois do primeiro contato, os criminosos sustentam uma negociação aparentemente legítima, enviam a vítima a um site falso que simula um painel de métricas de campanha com logos de marcas reais e até uma calculadora de remuneração estimada. Só depois desse investimento de tempo e credibilidade é que o site pede a URL do canal e, na etapa final, solicita autorização de acesso à conta via Google Sign-On — um fluxo OAuth legítimo sendo abusado para obter um token de acesso sem precisar roubar a senha diretamente, técnica conhecida como consent phishing.
Essa técnica é particularmente perigosa porque contorna proteções como MFA: a vítima não está digitando a senha em um site falso, está autorizando voluntariamente um aplicativo de terceiros dentro do próprio fluxo de login do Google, pensando estar formalizando uma parceria comercial. Uma vez obtido o token, o atacante pode assumir o canal, alterar configurações de monetização, usar a audiência da vítima para espalhar outros golpes (links de criptomoedas, falsas promoções) ou simplesmente extorquir o criador para devolver o acesso.
Para se proteger, criadores de conteúdo devem desconfiar de qualquer processo de patrocínio que exija conceder permissões de uma conta Google a um aplicativo externo — negociações comerciais legítimas não pedem isso. É recomendável validar a marca por canais oficiais independentes (site corporativo, perfil verificado), inspecionar o domínio exato de qualquer página de login (deve ser accounts.google.com) e revisar periodicamente a lista de aplicativos de terceiros conectados à conta Google, revogando acessos desconhecidos. Usar uma conta secundária, sem privilégios administrativos sobre o canal, para a fase de negociação inicial também reduz o dano potencial caso a isca seja bem-sucedida.