Google Forms, la herramienta de creación de formularios y cuestionarios de Google lanzada en 2008 que según una estimación casi el 50 % de las encuestas online se realizan con esta herramienta.
Sin embargo, su uso extendido también incluye los fines maliciosos y los actores de amenazas, que son expertos en abusar de tecnologías populares, ya están usando Google Forms para recopilar información confidencial de sus víctimas e incluso engañarlas para que instalen malware.
¿Por qué Google Forms?
Google Forms ofrece una gran oportunidad como forma de legitimar estafas y evadir filtros de seguridad. Los ciberdelincuentes lo prefieren porque:
- Es gratuito, lo que significa que los actores de amenazas pueden lanzar campañas a escala con un retorno de la inversión potencialmente lucrativo
- Goza de la confianza de los usuarios, lo que aumenta las posibilidades de que las víctimas crean que el formulario de Google al que se les envía o redirige es legítimo
- Es un servicio legítimo, lo que significa que los formularios de Google maliciosos y los enlaces a formularios maliciosos a menudo no son detectados por las herramientas de seguridad de correo electrónico tradicionales
- Es fácil de usar, lo que es bueno para los usuarios, pero también práctico para los ciberdelincuentes, que pueden lanzar campañas de phishing convincentes con muy poco esfuerzo o conocimiento previo de la herramienta
- Sus comunicaciones están cifradas con TLS (Transport Layer Security), lo que puede dificultar que las herramientas de seguridad comprueben si hay alguna actividad maliciosa. Además, suele utilizar URL dinámicas, lo que puede dificultar la detección de formularios maliciosos por parte de algunos filtros de seguridad de correo electrónico.
¿Qué aspecto tienen los ataques a Google Forms?
La mayoría de los ataques mediante Google Forms tienen por fin engañar a los usuarios y hacerles entregar su información personal y financiera. Aunque existen ligeras variaciones en la forma, estas son algunas de las principales técnicas que deben tenerse en cuenta:
Formularios relacionados con el phishing
Los formularios maliciosos de Google Forms son diseñados para suplantar marcas legítimas, como páginas de inicio de sesión de redes sociales, bancos y universidades, o incluso plataformas de pago. Como ya se ha mencionado, es más rápido, fácil y barato que crear un sitio dedicado al phishing, y es menos probable que sea bloqueado por los filtros de seguridad.
Normalmente, recibirás un enlace a uno de estos formularios de Google maliciosos a través de un correo electrónico de suplantación de identidad, que puede estar falsificado para hacerse pasar por una marca o un remitente legítimos. El correo electrónico puede incluso proceder de una cuenta legítima que ha sido secuestrada. En cualquier caso, el objetivo final suele ser:
- Recoger tus datos de acceso, que luego pueden utilizarse para secuestrar cuentas y cometer fraude de identidad
- Robar los datos de tu tarjeta o información bancaria o criptográfica para controlar tus cuentas y vaciarlas o cometer fraude en los pagos
- Persuadirte para que hagas clic en un enlace del formulario de Google malicioso que redirige a un sitio que instala malware de forma encubierta.
Los atacantes te envían un formulario malicioso de Google para engañarte y que llames a un número de teléfono que aparece en él. El formulario puede estar diseñado para que parezca enviado por un banco u otro proveedor de servicios de confianza. Generalmente, tendrá un sentido de urgencia para llevarte a tomar una decisión precipitada: llamar al número sin pensarlo bien antes. La excusa, frecuentemente, es que tu cuenta será bloqueada o que se retiró o retirará dinero.
Si llamas a ese número, hablarás con un miembro de una banda de suplantación de identidad por voz (vishing) que intentará convencerte para que entregues información personal y financiera. También pueden sugerirte que descargues un software de acceso remoto a tu equipo, lo que les daría el control total del mismo.
Concursos de preguntas y respuestas
Los ciberdelincuentes pueden abusar de la función de cuestionario de Google Forms, creando un cuestionario de preguntas y respuestas para hacerte participar en un supuesto concurso. Al finalizar el quiz querrás ver los resultados y ahí es donde verás un botón que al hacerle clic va a generar un mensaje que puede tener añadidos enlaces a sitios de phishing, malware o estafas.
Algunas campañas destacadas
Como ejemplo de campañas que se han visto en los últimos años podemos destacar:
BazarCall
Una amenaza de tipo vishing en la que las víctimas recibían un correo electrónico que contenía un formulario de Google malicioso que se hacía pasar por PayPal, Netflix o alguna otra de las grandes marcas. El formulario contenía detalles de un cargo falso que está a punto de aplicarse, a menos que el destinatario llame al número de teléfono facilitado.
Phishing dirigido a universidades estadounidenses
Google detectó el año pasado un aumento de los ataques contra el sector educativo estadounidense. Las víctimas recibieron correos electrónicos de phishing que contenían un enlace a un formulario de Google malicioso, ambos diseñados para parecer enviados por la universidad, con logotipos y referencias al nombre de la universidad. El objetivo final era obtener datos de acceso o financieros.
Cómo mantenerse alerta
La concienciación es la base para mitigar el impacto de amenazas de ingeniería social como esta. Si prestas atención a la forma que tiene para intentar engañarte, será más difícil que tomes malas decisiones. Por ejemplo, puedes tener en cuenta lo siguiente:
- Utiliza software de seguridad multicapa de un proveedor de confianza en todos los ordenadores y dispositivos móviles. Esto ayudará a garantizar que, incluso si haces clic en un enlace malicioso, se bloquee la descarga del malware. Un buen software también detectará patrones sospechosos, incluso si el propio formulario de Google parece legítimo, además de escanear tu ordenador o dispositivo periódicamente y mantenerte a salvo de cualquier cosa maliciosa.
- Mantente alerta ante posibles estafas de phishing. No debes fiarte de nada no solicitado que te pida que hagas clic en un enlace o llames a un número urgentemente. En su lugar, ponte en contacto con el remitente por los canales oficiales.
- Utiliza contraseñas fuertes y únicas para cada cuenta, almacénalas en un gestor de contraseñas para recordarlas fácilmente. Y opta por activar la autenticación multifactor (MFA) para todas las cuentas, de esa forma aunque filtre u obtengan tu contraseña, no podrán acceder a tu cuenta. Lo mejor es una llave de seguridad basada en hardware o una aplicación de autenticación.
- Presta atención: Google siempre muestra una advertencia en los formularios de Google: "Nunca envíes contraseñas a través de los formularios de Google". Sigue este consejo.
Si ocurre lo peor y crees que has sido víctima de un ataque a Google Forms, cambia tus contraseñas, realiza un escaneado de malware y pide a tu banco que congele las tarjetas (si has enviado los datos de la tarjeta). Activa el MFA en todas las cuentas, si aún no lo has hecho, y supervisa tus cuentas para detectar cualquier actividad inusual.
Con solo leer este artículo, estarás en una buena posición para defenderse de la amenaza de los formularios maliciosos de Google. Sé escéptico ante cualquier correo electrónico no solicitado que recibas, aunque proceda de una marca de confianza.
