Phishing
Falsa parceria da Amazon Music usa as estatísticas reais do teu canal do YouTube para roubar a conta Google
O site promete patrocínios por convite, calcula quanto vais ganhar e até deixa negociar a proposta. Pelo meio pede para verificares o canal com a Google numa janela falsa que guarda a palavra-passe e os códigos de verificação. Está traduzido para português.
Se tens um canal no YouTube e recebeste um convite para uma campanha paga da Amazon Music, desconfia. A Malwarebytes identificou um site que se faz passar por um portal de criadores da marca e que, depois de muitos passos convincentes, rouba o acesso à conta Google, e com ele o canal. O esquema aproveita uma novidade real: em agosto, a Amazon passou a fazer parte do programa de afiliados de compras do YouTube, que deixa alguns criadores ganhar comissões com produtos que marcam nos vídeos. A falsa oferta não tem nada a ver com esse programa.
Um painel com os números do teu canal
O site, alojado no endereço amazonyt[.]com, chama-se "Amazon Artists Music, Creator Portal" e diz que as colaborações são só por convite. Tem uma calculadora onde escolhes o tipo de campanha (Shorts, uma menção num vídeo, um vídeo dedicado ou um pacote completo), indicas as visualizações médias e vês uma estimativa do que vais receber. As contas são feitas a sério, mas o pagamento não existe. Segundo a empresa de segurança, a página está disponível em nove línguas, entre elas o português.
Depois pede o endereço do teu canal e mostra um painel com dados verdadeiros: subscritores, visualizações totais, vídeos recentes e os mais vistos. Para isso usa a interface pública do próprio YouTube, com 20 chaves de acesso à Google que vai trocando quando uma deixa de funcionar. Estes dados são públicos, mas vê-los numa página com a marca da Amazon faz parecer que alguém já analisou o teu canal.
A janela falsa da Google
Para desbloquear a proposta, o site pede que verifiques o canal com o botão "Continuar com a Google". Em vez da página real de início de sessão, abre-se uma moldura quase transparente, carregada de um segundo endereço, youtubechannelverification[.]com, por cima do site. A barra de endereço do browser continua a mostrar amazonyt[.]com. O formulário envia o email e a palavra-passe aos atacantes e está preparado para pedir também os códigos da verificação em dois passos.
No fim, a vítima não vê nenhum erro. Volta a um painel com a oferta desbloqueada, pode até fazer uma contraproposta e recebe uma mensagem a dizer que a equipa da Amazon Music vai entrar em contacto. A Malwarebytes nota que este final tranquilizador dá aos burlões tempo para usar a conta antes de a vítima desconfiar. Canais roubados são usados há anos para revender ou para transmitir burlas com criptomoedas, porque chegam com um público que confia neles.
Como te proteges
A regra principal é olhar para a barra de endereço verdadeira do browser. Quando a Google te pede a palavra-passe, o separador ou a janela tem de mostrar accounts.google.com, e uma barra desenhada dentro da página pode ser falsa. Confirma qualquer proposta de patrocínio através dos contactos oficiais da marca, encontrados por ti e não na mensagem.
Se já introduziste os dados, muda a palavra-passe no site da Google, termina as sessões em aparelhos que não reconheces e remove apps de terceiros que não autorizaste. Confirma que o email e o número de recuperação não foram alterados e, no YouTube Studio, abre Definições e depois Autorizações para veres se há alguém que não adicionaste. Se aprovaste um pedido de início de sessão ou deste um código de verificação, a Malwarebytes recomenda tratar a conta como comprometida.
