ESET empresa de ciberseguridad advierte el uso de Google Forms puede ser usado con fines maliciosos para recopilar información confidencial de sus usuarios e incluso engañarlos para que instalen malware. Los ciberdelincuentes lo prefieren por algunas de sus características clave: Es gratuito, lo que permite lanzar campañas a escala con un retorno de la inversión potencialmente lucrativo.
Otro de los valores es que goza de la confianza de los usuarios, lo que aumenta las posibilidades de que las víctimas los consideren legítimos. Es un servicio legítimo, por lo que los formularios maliciosos y los enlaces muchas veces no son detectados por las herramientas de seguridad tradicionales como correo electrónico.
Algunos otros aspectos es que es fácil de utilizar, lo que es bueno para los usuarios, pero también práctico para los ciberdelincuentes, que pueden lanzar campañas de phishing convincentes con muy poco esfuerzo. Sus comunicaciones están cifradas con TLS (Transport Layer Security), lo que puede dificultar que las herramientas de seguridad comprueben si hay alguna actividad maliciosa.
Además, suele utilizar URL dinámicas, lo que puede dificultar la detección de formularios maliciosos por parte de algunos filtros de seguridad de correo electrónico. La mayoría de los ataques tienen por fin engañar a los usuarios y hacerles entregar su información personal y financiera. Aunque existen ligeras variaciones en la forma, estas son algunas de las principales técnicas para tener en cuenta:
Formularios relacionados con el phishing
“Los formularios maliciosos de Google Forms son diseñados para suplantar marcas legítimas, como páginas de inicio de sesión de redes sociales, bancos y universidades, o incluso plataformas de pago. Es más rápido, fácil y barato que crear un sitio dedicado al phishing, y es menos probable que sea bloqueado por los filtros de seguridad”. Así lo omentó Camilo Gutiérrez Amaya, jefe del laboratorio de investigación de ESET Latinoamérica.
Generalmente, se recibe un enlace a uno de estos formularios maliciosos a través de un correo electrónico de suplantación de identidad, que puede estar falsificado para hacerse pasar por una marca o un remitente legítimos. El correo electrónico puede incluso proceder de una cuenta legítima que ha sido secuestrada. En cualquier caso, el objetivo final suele ser:
- Obtener los datos de acceso, para secuestrar cuentas y cometer fraude de identidad.
- Robar los datos de la tarjeta o información bancaria o criptográfica para controlar las cuentas y vaciarlas o cometer fraude en los pagos
- Persuadir para hacer clic en un enlace del formulario malicioso que redirige a un sitio que instala malware de forma encubierta.
El formulario puede estar diseñado para que parezca enviado por un banco u otro proveedor de servicios de confianza. Generalmente, tendrá un sentido de urgencia para llevar a tomar una decisión precipitada: llamar al número. La excusa, frecuentemente es que la cuenta será bloqueada o que se retiró o retirará dinero.
ESET advierte que, si se llama a ese número, se hablará con un miembro de una banda de suplantación de identidad por voz (vishing) que intentará convencer para que se entregue información personal y financiera. También puede sugerir que se descargue un software de acceso remoto al equipo, lo que les daría el control total del mismo.
Concursos de preguntas y respuestas
Los ciberdelincuentes pueden abusar de la función de cuestionario de Google Forms, creando un cuestionario de preguntas y respuestas para hacer al usuario participar en un supuesto concurso. Al finalizar la encuesta querrás ver los resultados y ahí es donde se verá un botón que al hacerle clic va a generar un mensaje que puede tener añadidos enlaces a sitios de phishing, malware o estafas.
Ejemplos de campañas destacadas:
- BazarCall: una amenaza de tipo vishing en la que las víctimas recibían un correo electrónico que contenía un formulario malicioso que se hacía pasar por PayPal, Netflix o alguna otra de las grandes marcas.
El formulario contenía detalles de un cargo falso que está a punto de aplicarse, a menos que el destinatario llame al número de teléfono facilitado.
- Phishing, dirigido a universidades: se detectó el año pasado un aumento de los ataques contra el sector educativo estadounidense.
Las víctimas recibieron correos electrónicos de phishing que contenían un enlace a un formulario de malicioso, ambos diseñados para parecer enviados por la universidad, con logotipos y referencias al nombre de la universidad.
El objetivo final es obtener datos de acceso o financieros, por ello se enfatiza que la concientización es clave para mitigar estas amenazas, algunas recomendaciones son:
- Utilizar software de seguridad multicapa en computadoras y móviles, de un proveedor confiable.
- Estar alerta ante posibles estafas de phishing.
- No confiar en correos no solicitados que instan a hacer clic en enlaces o llamar con urgencia. Verificar siempre por canales oficiales.
- Utilizar contraseñas fuertes y únicas, almacenadas en un gestor de contraseñas, y activar autenticación multifactor (MFA).
- Recordar que Google advierte en sus formularios: “Nunca envíes contraseñas a través de los formularios de Google”
“Si ocurre lo peor y crees que has sido víctima de un ataque, cambia tus contraseñas, realiza un escaneado de malware y pide a tu banco que congele las tarjetas si has enviado los datos de la tarjeta. Activa el doble factor de autenticación en todas las cuentas, si aún no lo has hecho y supervisa tus cuentas para detectar cualquier actividad inusual. Siempre se recomienda ser escéptico ante cualquier correo electrónico no solicitado que se recibas, aunque proceda de una marca de confianza”. Así lo concluyó Camilo Gutiérrez Amaya de ESET Latinoamérica.