Truffe via Google Forms: riconoscerle, evitarle, difendersi

Le truffe che sfruttano Google Forms sono in crescita e puntano soprattutto a chi usa o desidera ottenere criptovalute “gratis”. In questa guida trovi il funzionamento degli schemi, i segnali d’allarme più comuni e una serie di strategie operative per proteggerti, anche se l’email arriva davvero dai server di Google e supera i filtri antispam[4].

Come funziona la truffa

Il contatto iniziale è un’email generata da un modulo Google Forms. L’email porta elementi legittimi (logo, link “forms.gle”, conferma di invio del questionario) e quindi tende a passare i controlli automatici, perché proviene dall’infrastruttura Google[4][2].
Il messaggio promette un trasferimento di criptovalute o un “payout” che sta per scadere, con un invito a cliccare su un link per incassare[4][2].
Cliccando, si atterra su un sito fraudolento che chiede dati del wallet e dell’email. Poi arriva la richiesta di pagare una “commissione” in crypto o di contattare un finto “supporto blockchain”. Pagando, si perdono fondi e non si riceve nulla[4][2].
Il motivo per cui i criminali usano Google Forms è sfruttare la buona reputazione del dominio e far sì che l’email non finisca nello spam. Le URL “forms.gle” e l’invio dai server Google aumentano la probabilità di recapito in inbox[4].

Questa tattica non è nuova: il formato “modulo + promessa allettante + richiesta di dati o denaro” è una classica catena di phishing e social engineering già osservata nel tempo anche su altri servizi Google[5].

Perché è efficace

Autorità apparente: l’email di conferma di Google Forms sembra una notifica legittima, ingannando l’euristica “viene da Google, quindi è sicura”[2][4].
Urgenza e scarsità: l’invito a incassare “prima della scadenza” induce a cliccare senza verifiche[4][2].
Barriera tecnica aggirata: molti filtri reputazionali considerano attendibile l’infrastruttura Google e i link “forms.gle”[4].

Segnali d’allarme da riconoscere

Promesse di denaro o crypto senza contesto, soprattutto se “scadono” a breve[4].
Email che riportano link a “forms.gle” per questionari che non hai mai compilato o iniziato[2][4].
Richieste di pagare una “commissione” per sbloccare un presunto accredito[4][2].
Indicazioni a contattare un “supporto blockchain” esterno o via chat non ufficiali[4].
Errori di coerenza: logo di Google Forms ma messaggio che finge di essere una piattaforma crypto, stile e layout non tipici dei veri exchange[4].

Cosa fare subito se ricevi un’email sospetta

Non cliccare sui link nell’email. Apri manualmente il sito ufficiale del servizio di cui si parla (es. l’exchange) digitando l’indirizzo o usando un segnalibro.
Verifica il tuo account direttamente dalla dashboard ufficiale: se ci fosse davvero un accredito, troverai una notifica lì.
Controlla il mittente e l’header: email di conferma Google Forms con “payout crypto” è una combinazione sospetta.
Inoltra il messaggio al team di sicurezza del tuo provider email come phishing e segnala l’abuso a Google tramite gli strumenti di segnalazione.
Se hai cliccato, esegui una scansione anti-phishing/anti-malware e cambia le password esposte, con 2FA attivo.

Migliori pratiche per proteggere i tuoi asset crypto

Attiva l’autenticazione a più fattori (preferibilmente via app o chiave hardware) su email, exchange e wallet.
Usa wallet non-custodial con seed conservata offline e non digitare mai la seed phrase su siti linkati da email.
Per grandi importi, adotta un hardware wallet e procedure di transazione a “due persone” o con conferma fuori banda.
Mantieni un portafoglio “freddo” per il grosso degli asset e uno “caldo” separato per operatività quotidiana.
Monitora le transazioni con alert: se parte un movimento anomalo, intervieni immediatamente.

Igiene digitale per email e moduli

Diffida dei moduli non richiesti. Anche se l’indirizzo è “forms.gle”, verifica la fonte: chi ha creato il modulo e perché ti sta contattando[4].
Non inserire l’email in moduli generici per “claim” o “verifica accrediti”. Se serve assistenza, cerca i canali ufficiali del servizio.
Usa alias email o indirizzi “bruciabili” per iscrizioni; limita l’esposizione del tuo indirizzo primario.
Disabilita il caricamento automatico di contenuti esterni nelle email per ridurre tracciamenti.
Addestra filtri personalizzati: regole che spostano in una cartella di revisione i messaggi con parole chiave (es. “crypto payout”, “commissione per sblocco”) combinati a “forms.gle”.

Strumenti di sicurezza consigliati

Soluzione anti-phishing che blocchi siti ingannevoli e segnali pagine di login fasulle prima che inserisci le credenziali[4].
Estensioni browser per il controllo reputazione dei domini e anti-typosquatting.
Gestore di password con compilazione condizionata al dominio corretto: se non compila, fermati e controlla l’URL.
DNS filtrato o protezione a livello di rete che blocchi domini noti per frodi.
Log centralizzato delle email (per team) per analisi e risposta rapida agli incidenti.

Verifiche pratiche “in 30 secondi”

Controllo del dominio: il link punta davvero al dominio ufficiale dell’exchange/banca? No? Allora chiudi la pagina.
Test senza credenziali: una pagina legittima spesso non chiede dati sensibili prima di autenticarti sul portale ufficiale.
Ricerca inversa: copia il testo dell’email e incollalo in un motore di ricerca con “scam” o “truffa” per trovare segnalazioni.
Controllo di coerenza: perché un exchange dovrebbe comunicare tramite Google Forms invece che tramite il proprio dominio e il centro notifiche dell’account?

Cosa non fare mai

Non pagare “commissioni” per ricevere fondi promessi via email. Nessun servizio serio richiede fee anticipate tramite canali esterni[4][2].
Non condividere seed phrase, chiavi private o codici 2FA. Mai, in nessun caso.
Non installare software suggerito da email non richieste o “operatori” contattati via chat esterne.
Non proseguire se ti viene chiesto di disattivare l’antivirus o cambiare impostazioni di sicurezza.

Se sei già caduto nella trappola

Revoca l’accesso a sessioni e token: esegui il logout forzato dai servizi coinvolti e rigenera le chiavi API.
Cambia subito le password correlate e abilita/rigenera 2FA.
Se hai pagato, contatta l’exchange/wallet per un alert immediato e valuta un report alle autorità competenti con evidenze (hash transazioni, indirizzi, email, URL).
Monitora i tuoi indirizzi crypto su explorer pubblici con alert.
Avvisa i contatti: i criminali potrebbero usare la tua rubrica per colpire altri.

Perché le truffe stanno aumentando

Gli attaccanti scalano facilmente: basta un modulo e una lista di email per inviare messaggi “puliti” tramite Google[4].
L’interesse verso le crypto crea un bacino ampio di potenziali vittime attratte da “airdrop” e “bonus”[4].
I costi degli attacchi sono bassi, i ritorni potenziali elevati, e i domini “forms.gle” godono di buona deliverability[4].

Alcune analisi hanno osservato un incremento consistente degli schemi che sfruttano Google Forms tra il 2024 e il 2025, segnale che la tattica continua a funzionare e circolare in nuove varianti[4].

Consigli per aziende e team di sicurezza

Formazione continua: simulazioni di phishing che includano scenari via Google Forms e altri servizi legittimi.
Policy di canali ufficiali: definire e comunicare chiaramente come l’azienda contatta gli utenti e come non lo fa.
DMARC, DKIM, SPF: configurazioni corrette e monitoraggio, pur sapendo che non bastano quando l’email parte da domini terzi legittimi.
Threat intel: monitorare indicatori relativi a campagne che abusano di forms.gle e pattern di pagine esca.
Playbook di risposta: procedure rapide per bloccare domini, URL e indirizzi crypto associati alle campagne.

Checklist rapida anti-truffa (da salvare)

L’email promette crypto o denaro? Diffida.
Il link è “forms.gle”? Ferma tutto e verifica tramite il sito ufficiale.
Ti chiedono una “commissione” per sbloccare un pagamento? È un segnale di truffa.
Non fornire mai seed phrase, chiavi private, codici 2FA.
Usa 2FA, antivirus con protezione anti-phishing e verifica il dominio prima di inserire dati[4].
Nel dubbio, cerca conferme da canali ufficiali o attendi: le scadenze urgenti sono un trucco per farti sbagliare.

Con consapevolezza, strumenti adeguati e una routine di verifiche semplici ma rigorose, puoi neutralizzare anche le truffe che sfruttano servizi legittimi come Google Forms e proteggere i tuoi asset digitali e la tua identità online[4][2][5].

Fonte: https://www.kaspersky.it/blog/google-forms-scam/29861