spoofing przez Google Forms

Spoofing przez Google Forms wykorzystuje zaufaną domenę do hostowania formularza wyłudzającego dane.

Na czym polega spoofing przez Google Forms

Spoofing przez Google Forms to technika oszustwa, w której napastnik wykorzystuje formularz utworzony w usłudze Google Forms do podszywania się pod inną osobę, firmę, bank, operatora pocztowego albo dział techniczny. Sam formularz może być opublikowany pod adresem należącym do domeny Google, na przykład docs.google.com/forms. Taka domena jest rozpoznawalna i często budzi większe zaufanie niż przypadkowa domena utworzona przez oszusta. Zaufanie do adresu usługi nie potwierdza jednak tożsamości autora formularza ani prawdziwości zawartych w nim informacji.

Napastnik przygotowuje stronę z polami imitującymi logowanie, potwierdzenie płatności, zgłoszenie serwisowe, ankietę pracowniczą lub weryfikację konta. Formularz może żądać adresu poczty elektronicznej, nazwy użytkownika, hasła, kodu jednorazowego, numeru telefonu albo danych karty. Warto odróżnić usługę od nadużycia: Google Forms jest narzędziem do tworzenia formularzy, a nie mechanizmem służącym wyłącznie do kradzieży danych. Problem polega na tym, że legalna funkcja publikowania formularzy może zostać wykorzystana do skonstruowania wiarygodnie wyglądającej strony phishingowej.

Jak wygląda przepływ danych w takim oszustwie

Ofiara zwykle otrzymuje wiadomość e-mail, SMS albo komunikat w komunikatorze z linkiem do formularza. Treść może wywoływać presję czasu, informować o rzekomym zablokowaniu konta lub wymagać natychmiastowego potwierdzenia przesyłki. Po otwarciu strony użytkownik wpisuje dane w pola formularza i naciska przycisk wysłania. Odpowiedzi mogą zostać zapisane w panelu Google Forms albo połączonym arkuszu Google Sheets, do którego dostęp ma autor formularza. Nie oznacza to, że Google automatycznie przekazuje dane napastnikowi; dostęp do odpowiedzi wynika z konfiguracji formularza i uprawnień jego właściciela.

Spotykany jest również model hybrydowy. Formularz zbiera tylko podstawowe informacje, a po wysłaniu odpowiedzi przekierowuje użytkownika do kolejnej strony, na przykład do fałszywego panelu logowania. Napastnik może wtedy użyć Google Forms do zebrania identyfikatora, a hasło przechwycić na zewnętrznej stronie. Link może zawierać parametry wstępnego wypełnienia, dzięki czemu formularz wyświetla adres poczty lub nazwę firmy znaną z wcześniejszej korespondencji. Taki szczegół zwiększa wiarygodność ataku, ale nie świadczy o autentyczności wiadomości.

Objawy i bezpieczna weryfikacja linku

Przed wpisaniem danych należy sprawdzić pełny adres strony w pasku przeglądarki, a nie tylko nazwę widoczną w wiadomości. Adres Google Forms może być prawdziwym adresem usługi, lecz nadal prowadzić do formularza stworzonego przez osobę nieuprawnioną. Należy zwrócić uwagę na nazwę autora, treść prośby, nietypowe żądania oraz zgodność komunikatu z wcześniejszą korespondencją. Bank, dostawca poczty lub administrator firmowego konta nie powinien wymagać podania hasła w przypadkowym formularzu ankietowym. Skrócone linki i przekierowania utrudniają ocenę miejsca docelowego.

Jeżeli formularz żąda hasła, kodu MFA lub danych płatniczych, należy zamknąć kartę i przejść do usługi przez ręcznie wpisany, znany adres albo oficjalną aplikację. Po przypadkowym przesłaniu hasła trzeba niezwłocznie zmienić je na właściwej stronie, wylogować aktywne sesje i sprawdzić ustawienia metod uwierzytelniania. Gdy podano dane płatnicze, należy skontaktować się z wystawcą karty lub bankiem kanałem wskazanym na oficjalnej stronie. Podejrzany formularz można zgłosić w interfejsie Google, a wiadomość z linkiem oznaczyć jako phishing w używanym programie pocztowym.

Znaczenie dla laptopa i komputera użytkownika

Samo otwarcie formularza Google Forms zazwyczaj nie oznacza zainfekowania laptopa lub komputera. Najczęstszym celem jest nakłonienie użytkownika do dobrowolnego wpisania informacji, dlatego podstawowe znaczenie ma analiza linku, treści wiadomości i danych przekazanych w formularzu. Ryzyko rośnie, gdy po przesłaniu odpowiedzi użytkownik pobrał plik, uruchomił program, zainstalował rozszerzenie przeglądarki albo zaakceptował nietypowe uprawnienia. W takiej sytuacji warto wykonać skanowanie aktualnym programem ochronnym, sprawdzić listę ostatnio pobranych plików i usunąć nieznane rozszerzenia.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki można również sprawdzić objawy nietypowego działania systemu po kontakcie z podejrzanym formularzem, takie jak nowe aplikacje, przekierowania przeglądarki, wyskakujące okna lub nieznane procesy. W przypadku spoofingu najważniejsze jest jednak równoległe zabezpieczenie przejętych kont, ponieważ czyszczenie komputera nie cofnie skutków ujawnienia hasła. Do dalszej pracy należy używać zmienionych haseł, unikać ponownego otwierania podejrzanego odnośnika i zachować wiadomość wraz z pełnym adresem formularza do analizy.