phishing przez Google Forms

Phishing przez Google Forms wykorzystuje zaufaną domenę do hostowania formularza wyłudzającego dane.

Na czym polega phishing przez Google Forms

Phishing przez Google Forms to odmiana oszustwa, w której przestępca tworzy formularz internetowy służący do wyłudzenia informacji. Formularz może być opublikowany w usłudze Google Forms, a następnie udostępniony za pomocą adresu URL prowadzącego do domeny kojarzonej z Google. Sama obecność formularza w znanej usłudze nie potwierdza jednak, że jego autor jest wiarygodny ani że żądane dane są potrzebne do wykonania opisanej czynności.

Formularz może prosić o podanie adresu e-mail, numeru telefonu, hasła, kodu jednorazowego, danych karty płatniczej albo innych informacji. Częstym schematem jest umieszczenie w formularzu grafiki lub tekstu przypominającego komunikat banku, operatora poczty, firmy kurierskiej albo administratora systemu. Po wysłaniu odpowiedzi ofiara może zostać przekierowana do kolejnej strony, na której znajduje się fałszywy ekran logowania. W ten sposób formularz pełni funkcję pierwszego etapu ataku, a właściwe wyłudzenie hasła odbywa się poza nim.

Dlaczego zaufana domena nie oznacza bezpieczeństwa

Adres formularza może zawierać domenę należącą do Google, ponieważ formularz został utworzony w legalnej usłudze dostępnej dla użytkowników prywatnych, organizacji i firm. Mechanizm ten zapewnia prawidłowe szyfrowanie połączenia HTTPS między przeglądarką a serwerem usługi, ale nie weryfikuje prawdziwości treści wpisanych przez autora formularza. Szyfrowanie chroni transmisję przed prostym podsłuchem, lecz nie uniemożliwia oszustowi zadawania fałszywych pytań.

Przestępcy wykorzystują również elementy zwiększające wiarygodność wiadomości: logo znanej marki, nazwę działu, numer zgłoszenia, presję czasową oraz informację o rzekomym zablokowaniu konta. Niekiedy formularz jest wysyłany z adresu znajomej osoby, której konto zostało przejęte, albo umieszczany w wiadomości zawierającej skrócony link. O autentyczności żądania nie świadczy ani wygląd formularza, ani poprawna pisownia domeny Google. Należy ocenić, kto wysłał wiadomość, jaki jest rzeczywisty cel formularza i czy dane można potwierdzić niezależnym kanałem.

Rozpoznawanie i bezpieczne postępowanie

Sygnałem ostrzegawczym jest prośba o wpisanie hasła do formularza, zwłaszcza gdy formularz nie prowadzi do standardowej strony logowania właściwego dostawcy usługi. Podejrzane są także żądania kodu z wiadomości SMS, kodu z aplikacji uwierzytelniającej, numeru karty, kodu CVV lub skanu dokumentu bez jasnego uzasadnienia. Warto sprawdzić pełny adres strony, nadawcę wiadomości, treść instrukcji i zgodność sprawy z rzeczywistymi działaniami użytkownika. Nie należy podejmować decyzji wyłącznie na podstawie nazwy wyświetlanej w polu nadawcy.

Niebezpiecznego formularza nie powinno się wypełniać ani testować prawdziwymi danymi. Wiadomość można zgłosić jako phishing w używanym kliencie pocztowym, a sam formularz zgłosić przez dostępne w usłudze Google opcje raportowania nadużycia. Jeżeli hasło zostało już wpisane, trzeba jak najszybciej zmienić je na oficjalnej stronie usługi, wylogować nieznane sesje i sprawdzić ustawienia uwierzytelniania wieloskładnikowego. Gdy przekazano dane płatnicze, należy skontaktować się z bankiem za pośrednictwem numeru znajdującego się na karcie lub oficjalnej stronie. W przypadku pobrania pliku albo uruchomienia programu wskazane jest odłączenie komputera od sieci i wykonanie diagnostyki.

Znaczenie diagnostyki komputera po kontakcie z oszustwem

Samo otwarcie formularza zwykle nie oznacza automatycznego zainfekowania komputera, ponieważ formularz jest treścią internetową wyświetlaną w przeglądarce. Ryzyko rośnie jednak, gdy użytkownik pobrał załącznik, uruchomił plik, zainstalował rozszerzenie przeglądarki albo zatwierdził nietypowe uprawnienia. Po takim zdarzeniu warto sprawdzić listę ostatnio pobranych plików, zainstalowane programy, rozszerzenia przeglądarki, zadania uruchamiane przy starcie systemu oraz alerty programu antywirusowego. Należy także przeanalizować aktywność konta z poziomu oficjalnego panelu bezpieczeństwa, a nie z linku otrzymanego w wiadomości.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki można sprawdzić objawy mogące wskazywać na działanie złośliwego oprogramowania po kontakcie z phishingiem. Kontrola powinna obejmować stan systemu, przeglądarki, oprogramowania zabezpieczającego i podstawowych ustawień autostartu. Jeżeli doszło do przejęcia konta, diagnostyka komputera powinna być połączona z natychmiastową zmianą haseł na niezainfekowanym urządzeniu oraz unieważnieniem podejrzanych sesji.