Tecnología
La peligrosa modalidad de estafa para cometer fraudes millonarios con solo hacer clic en un formulario
Existe una herramienta de Google sobre creación de formularios y cuestionarios, que podría estar siendo usada para fines fraudulentos.
Las modalidades de estafa han evolucionado, cada vez más, hasta el punto de convertirse en estrategias sofisticadas, donde una persona engaña a otra con el objetivo de obtener un beneficio, normalmente económico, causando un perjuicio a la víctima. En otras palabras, se trata de un fraude intencional que busca aprovecharse de la confianza, la ignorancia o la buena fe de alguien para quedarse con su dinero, bienes o información personal.
Recientemente, salió a la luz una nueva forma en que criminales engañan a las personas. La compañía de detección de amenazas, ESET, advirtió que Google Forms, la herramienta de creación de formularios y cuestionarios de Google lanzada en 2008, podría estar siendo usado con fines maliciosos para recopilar información confidencial de sus víctimas e incluso engañarlas para que instalen malware.
Google Forms, donde según una estimación, el 50 % de las encuestas online se realizan con esta herramienta, le podría estar facilitando a los delincuentes la forma de legitimar estafas y evadir filtros de seguridad sin que lo sepan. Además, los ciberdelincuentes se estarían aprovechando de los formularios de Google como herramienta para campañas de phishing debido a varias ventajas:
- Es gratuito, lo que permite realizar ataques a gran escala con bajo costo y alto potencial de ganancia.
- Genera confianza en las víctimas, ya que Google es una plataforma reconocida y legítima.
- Es difícil de detectar, pues muchos sistemas de seguridad no identifican estos formularios como amenazas.
- Es fácil de usar, lo que permite a los atacantes crear campañas sin necesidad de conocimientos técnicos.
- Utiliza cifrado TLS y URL dinámicas, lo que complica el trabajo de las herramientas de seguridad para detectar actividades maliciosas.
La mayoría de los ataques mediante Google Forms tienen por fin engañar a los usuarios y hacerles entregar su información personal y financiera.
Lo más leído
“Los formularios maliciosos de Google Forms son diseñados para suplantar marcas legítimas, como páginas de inicio de sesión de redes sociales, bancos y universidades, o incluso plataformas de pago. Es más rápido, fácil y barato que crear un sitio dedicado al phishing, y es menos probable que sea bloqueado por los filtros de seguridad”, comentó Camilo Gutiérrez Amaya, jefe del laboratorio de investigación de ESET Latinoamérica.
¿Cómo funciona esta estafa?
Normalmente, una persona recibe un enlace a uno de estos formularios de Google maliciosos a través de un correo electrónico de suplantación de identidad, que puede estar falsificado para hacerse pasar por una marca o un remitente legítimos. El correo electrónico puede incluso proceder de una cuenta legítima que ha sido secuestrada.
Los ciberdelincuentes emplean formularios de Google maliciosos para recopilar datos de acceso de las víctimas, lo que les permite secuestrar cuentas y llevar a cabo fraudes de identidad. Además, estos formularios pueden ser utilizados para robar información sensible, como datos bancarios, tarjetas de crédito o criptomonedas, lo que les da el control total sobre las cuentas y facilita el vaciamiento de fondos o el fraude en pagos.
En muchos casos, los atacantes persuaden a las víctimas para que hagan clic en enlaces dentro de estos formularios, lo que las redirige a sitios maliciosos donde se instala malware de forma encubierta, comprometido aún más la seguridad de las víctimas.
Los atacantes envían un formulario malicioso de Google para engañar al usuario y que llame así a un número de teléfono que aparece allí. El formulario puede estar diseñado para que parezca enviado por un banco u otro proveedor de servicios de confianza. Generalmente, tendrá un sentido de urgencia para llevar a tomar una decisión precipitada: llamar al número sin pensarlo bien antes. La excusa, frecuentemente, es que la cuenta será bloqueada o que se retiró o retirará dinero.
La compañía de ciberseguridad citada advierte que si se llama a ese número, se hablará con un miembro de una banda de suplantación de identidad por voz (vishing) que intentará convencer para que se entregue información personal y financiera. También podrían sugerir que la víctima descargue un software de acceso remoto al equipo, lo que les daría el control total del mismo. Por ello, es importante reportar y evitar responder a estos correos.
