A falsa página de patrocínio já sabe quantos subscritores tem

Recebe-o com as suas próprias miniaturas. O número de subscritores, o total de visualizações, a contagem de vídeos, tudo certo. Não é uma fuga de dados, é a API pública do YouTube, que qualquer pessoa pode consultar, mas o efeito sobre um criador que lê uma proposta de patrocínio só por convite é exatamente o que as pessoas por trás de amazonyt.com procuravam.

Stefan Dasic, da Malwarebytes, documentou a campanha esta semana. O site apresenta-se como Amazon Artists Music Creator Portal e apoia-se em algo real: a Amazon e o YouTube anunciaram mesmo em agosto uma parceria Shopping Affiliate. Há uma calculadora de ganhos com pacotes e extras opcionais, e o conjunto está traduzido em nove línguas, entre elas espanhol, português, indonésio, árabe, hindi e urdu. Para ver a proposta personalizada, pedem-lhe que verifique o canal com a Google.

O botão de verificação é a armadilha, e é cuidada. Não o leva a lado nenhum. Pousa uma moldura transparente vinda de um segundo domínio, youtubechannelverification.com, por cima da página onde já está, de modo que a barra de endereço continua a mostrar amazonyt.com enquanto escreve. O formulário fica com a palavra-passe e depois com o código de dois fatores. A seguir aparece "Verification failed" ou um tranquilizador "Request received", conforme o que os operadores configuraram nesse dia.

Há duas coisas que vale a pena fixar. O início de sessão da Google acontece num endereço da Google e em mais lado nenhum, e o YouTube nunca pede que verifique o seu canal num site de terceiros. A barra de endereço é a única parte de uma página que um atacante não consegue repintar, por isso leia-a antes de escrever e não depois. Se acha que entregou a palavra-passe, mude-a e percorra as aplicações ligadas à sua conta Google. A verificação de privacidade e contas do Tendvane abrange as contas com sessão iniciada no seu PC e as definições à volta delas, um próximo passo sensato.