Una nueva estafa a influencers usa falsas colaboraciones con Nike y Spotify para robar cuentas de YouTube. El cebo parece real.
El email que parece una colaboración de verdad
El gancho es el de siempre: una propuesta de patrocinio remunerado que llega por correo, con tu nombre dentro y referencias a vídeos concretos de tu canal. La compañía de ciberseguridad ESET ha identificado una operación en la que los atacantes suplantan a marcas conocidas —Nike, Spotify, Hollyland— y escriben a creadores demostrando que se han mirado su contenido. Ni un error visible.
Y no es casualidad que el objetivo sean ellos. Según el Estudio de Redes Sociales 2025 de IAB Spain, el 40% de los usuarios considera fiables a los influencers que sigue. Y eso es justo lo que buscan: quien controla un perfil con miles de seguidores hereda esa confianza y puede extender el fraude sin levantar sospechas.
El momento exacto en el que te la cuelan: el login con Google
En uno de los casos analizados por ESET, una periodista recibió un mensaje de un supuesto empleado de Hollyland, fabricante de equipos audiovisuales. El remitente mencionaba vídeos concretos de su canal y le ofrecía enviarle un dispositivo para probarlo. El dominio del correo no pertenecía a la compañía auténtica. Daba igual: el mensaje tenía tantas referencias personales que parecía legítimo, así que ella respondió con sus tarifas.
La respuesta fue una invitación a Matchy, una supuesta plataforma de gestión de patrocinios donde consultar condiciones económicas, estadísticas del canal y tramitar el pago. Reproduce logotipos empresariales, campañas, simuladores de ingresos, y apartados para gestionar contratos. Matchy pide la dirección de tu canal de YouTube y tira de datos públicos: cuando el creador entra, ve su propio perfil con cifras reales. Ahí está la trampa.
Todo se tuerce cuando la web pide iniciar sesión con Google para comprobar la propiedad del canal. Suena a trámite estándar. El inicio de sesión con Google es el punto crítico del robo, y hay dos vías: los permisos excesivos, que permiten acciones sobre el canal —incluida la gestión de contenidos—, y las páginas falsificadas que imitan el acceso a Google para capturar contraseñas y códigos de verificación. Si cae esa cuenta, caen también Gmail y Drive.
En internet la confianza se hereda: quien roba el perfil de un creador se lleva también la credibilidad que ese creador le había ganado a su gente.
Hay un caso todavía más incómodo. Otra creadora afectada por una variante del fraude vio cómo los atacantes modificaron sus datos de recuperación, sustituyeron el teléfono y el correo asociados y añadieron nuevos códigos de respaldo. Recuperar el control de su cuenta se convirtió en una carrera con muy pocas opciones de ganar.
Cómo detectar la oferta falsa antes de teclear la contraseña
El phishing con marca falsa es el clásico de los clásicos: cambia la marca y cambia el sector, pero el mecanismo se repite. Antes eran los correos de bancos que nadie se creía; ahora el anzuelo son los patrocinios de marcas de tecnología y audio, con una plataforma entera detrás para dar verosimilitud.
Josep Albors, director de Investigación y Concienciación de ESET España, resume la clave: 'Antes de aceptar una propuesta de colaboración, es fundamental verificar que procede realmente de la marca, contactando con ella a través de sus canales oficiales y revisando los dominios y enlaces recibidos'. Albors añade que una apariencia profesional no demuestra nada y que conviene revisar los permisos que concede cada app al conectar cuentas.
Traducido a la práctica: contraseña distinta para cada servicio, verificación en dos pasos activada —la de Google incluida— y revisión de los dispositivos conectados cuando algo te chirríe. Si la oferta viene de Nike, de Spotify o de cualquier marca seria, responde por sus canales oficiales antes de tocar nada. La cuenta es el negocio: perderla no es quedarse sin seguidores, es quedarse sin altavoz. Y estas campañas no van a menos.
📱 El TL;DR (Too Long; Didn't Read)
- 👤 De quién hablamos: Los creadores de contenido que reciben falsas ofertas de patrocinio.
- 📲 En qué red social ha pasado: Llega por correo y el robo se ejecuta en el login con Google y en YouTube.
- 🔥 Por qué es viral: Porque suplanta a Nike, Spotify y Hollyland para robar cuentas con miles de seguidores.
