La falsa página de patrocinio ya sabe cuántos suscriptores tiene

Le recibe con sus propias miniaturas. Su número de suscriptores, su total de visualizaciones, su recuento de vídeos, todo correcto. No es una filtración, es la API pública de YouTube, que cualquiera puede consultar, pero el efecto sobre un creador que lee una oferta de patrocinio solo por invitación es exactamente el que buscaba la gente detrás de amazonyt.com.

Stefan Dasic, de Malwarebytes, documentó la campaña esta semana. El sitio se presenta como Amazon Artists Music Creator Portal y se apoya en algo real: Amazon y YouTube sí anunciaron en agosto una alianza de Shopping Affiliate. Hay una calculadora de ingresos con paquetes y extras opcionales, y todo está traducido a nueve idiomas, entre ellos español, portugués, indonesio, árabe, hindi y urdu. Para ver su oferta personalizada le piden verificar el canal con Google.

El botón de verificación es la trampa, y está bien hecha. No le lleva a ninguna parte. Coloca un marco transparente procedente de un segundo dominio, youtubechannelverification.com, encima de la página en la que ya está, de modo que la barra de direcciones sigue mostrando amazonyt.com mientras usted escribe. El formulario se queda con la contraseña y luego con el código de doble factor. Después aparece "Verification failed" o un tranquilizador "Request received", según cómo lo hayan configurado los operadores ese día.

Hay dos cosas que conviene fijar. El inicio de sesión de Google ocurre en una dirección de Google y en ningún otro sitio, y YouTube nunca pide verificar su canal en una web ajena. La barra de direcciones es la única parte de una página que un atacante no puede repintar, así que léala antes de escribir y no después. Si cree que entregó la contraseña, cámbiela y revise las aplicaciones conectadas de su cuenta de Google. La comprobación de privacidad y cuentas de Tendvane cubre las cuentas con sesión iniciada en su PC y los ajustes que las rodean, un siguiente paso razonable.