Google Agenda : une fausse invitation peut-elle contourner la double authentification ?
Vous recevez une invitation Google Agenda pour une réunion professionnelle. L’expéditeur semble sérieux, le lien ressemble à une adresse Google et votre compte est protégé par la double authentification. Tout paraît normal. Pourtant, cette simple invitation peut servir de point de départ à une attaque visant à voler votre session de connexion, sans nécessairement connaître votre mot de passe. Une campagne de phishing baptisée CloudFire montre comment les pirates exploitent notre confiance dans les services Google pour nous attirer dans un piège particulièrement bien ficelé.
Une réunion qui pourrait vous coûter votre compte Google
Les invitations Google Agenda font partie de ces notifications que nous ouvrons presque machinalement. Une réunion déplacée, un rendez-vous professionnel, un entretien ou une visioconférence : nous recevons un message, nous vérifions la date et nous cliquons éventuellement sur le lien proposé. Les pirates informatiques connaissent parfaitement cette habitude.
Dans une campagne de phishing récemment documentée, des attaquants ont utilisé des invitations Google Agenda et des mécanismes de redirection associés à des services légitimes pour diriger leurs victimes vers de fausses pages de connexion.
Le piège repose sur une idée simple : lorsqu’un utilisateur voit apparaître une adresse appartenant à Google, il a naturellement tendance à lui faire confiance. Or, un lien qui commence par une adresse légitime ne garantit pas que sa destination finale soit sécurisée.
Les attaquants exploitent précisément cette confusion. Une invitation peut contenir un lien qui passe par un service de confiance avant d’aboutir sur un site contrôlé par les pirates.
Et c’est à ce moment-là que la réunion du mardi matin peut prendre une tournure beaucoup moins sympathique.
Comment fonctionne cette arnaque ?
Le mécanisme combine plusieurs techniques de phishing. L’invitation sert d’appât, tandis qu’une page frauduleuse imite l’interface de connexion de Google ou d’un autre service professionnel.
La victime pense simplement devoir confirmer son identité pour accéder à une réunion ou consulter un document. Dans certaines variantes de phishing avancé, les pirates ne cherchent pas uniquement à récupérer un mot de passe. Ils tentent aussi d’intercepter les éléments permettant de maintenir une session authentifiée.
Le parcours d’une fausse invitation
Recevoir une invitation ou cliquer sur un lien ne signifie pas automatiquement que votre compte est compromis. L’attaque nécessite généralement d’autres étapes, notamment une interaction avec une fausse page d’authentification.
Schéma pédagogique simplifié. Une invitation frauduleuse ne suffit pas, à elle seule, à contourner la double authentification.
Comment les pirates peuvent contourner la double authentification
Pour comprendre le danger, il faut distinguer deux éléments : votre mot de passe et votre session de connexion. Lorsque vous vous connectez normalement à Google, vous saisissez votre mot de passe, puis vous confirmez votre identité avec un code, une notification sur votre smartphone ou une autre méthode de vérification.
Une fois ces étapes validées, Google crée une session authentifiée. Votre navigateur conserve alors des informations permettant de rester connecté sans devoir saisir votre mot de passe à chaque clic.
Les attaquants de la campagne CloudFire utilisent une technique appelée Adversary-in-the-Middle (AiTM). Un serveur contrôlé par les pirates s’intercale entre le navigateur de la victime et la véritable page de connexion Google.
L’utilisateur saisit son mot de passe, puis valide une véritable demande de double authentification. Le serveur malveillant relaie ces opérations à Google en temps réel et tente de récupérer la session obtenue. Autrement dit, la double authentification fonctionne, mais elle est validée dans un environnement contrôlé par l’attaquant.
C’est un peu comme présenter sa carte d’identité à l’entrée d’un immeuble, puis découvrir que le réceptionniste vient de remettre votre badge d’accès à quelqu’un d’autre.
Cette technique peut tromper certaines méthodes de double authentification, notamment les codes SMS, les applications générant des codes temporaires et certaines confirmations par notification. En revanche, les clés de sécurité FIDO2 et les passkeys correctement utilisées avec une vérification liée au domaine offrent une protection beaucoup plus solide contre ce type de phishing.
Près de 900 domaines frauduleux neutralisés
L’ampleur de l’opération donne une idée du travail réalisé par les attaquants.
Selon les chercheurs de Material Security, la campagne était active depuis la mi-août 2026 et ciblait principalement des comptes professionnels Google Workspace.
|
68 676
Messages malveillants
bloqués |
897
Domaines frauduleux
neutralisés |
|
2 112
URL malveillantes
analysées |
8 570
Adresses d’expédition
compromises observées |
À savoir :
chiffres communiqués par Material Security pour un mois d’opération CloudFire, sur le périmètre de ses clients participants. Ils ne représentent pas le nombre de comptes effectivement piratés.
Les chercheurs ont collaboré avec Cloudflare pour identifier et neutraliser les infrastructures utilisées par les attaquants.
Un autre détail rend cette campagne particulièrement intéressante : les invitations provenaient parfois de comptes déjà compromis, appartenant à des organisations avec lesquelles les victimes avaient réellement échangé. Une invitation envoyée par un contact connu peut donc être tout aussi dangereuse qu’un message provenant d’un parfait inconnu.
Bref, Google Agenda n’a pas été piraté
C’est une précision importante. Les chercheurs n’ont pas démontré l’existence d’une faille permettant de prendre le contrôle de Google Agenda lui-même. Les pirates ont détourné des fonctionnalités légitimes, notamment les invitations, les redirections et les mécanismes habituels de connexion.
La campagne semble désormais s’être dispersée après la neutralisation de centaines de domaines. Material Security indique toutefois avoir découvert des éléments de code suggérant que les attaquants pourraient adapter leur technique à Microsoft 365. Ce scénario reste une possibilité, et non une nouvelle campagne confirmée.
L’affaire rappelle finalement une réalité assez désagréable : même une double authentification ne dispense pas de vérifier où l’on se connecte.
Et si une réunion inconnue apparaît soudainement dans votre agenda avec un lien vous demandant de vous identifier, inutile de vous précipiter. Votre compte Google a probablement davantage de valeur que cette réunion à laquelle vous n’aviez de toute façon aucune envie d’assister.
Comment protéger votre compte Google ?
La première précaution consiste à se méfier des invitations inattendues, même lorsqu’elles semblent provenir d’un partenaire professionnel ou d’une personne connue. Voici cinq réflexes à adopter.
Une demande de paiement, une convocation ou un document urgent reçu via Google Agenda mérite une vérification par un autre canal.
Une adresse Google utilisée comme redirection ne garantit pas la fiabilité du site de destination.
Ces méthodes sont plus résistantes aux attaques par interception de session que les codes SMS.
Depuis
la page de sécurité Google,
examinez les connexions et déconnectez les appareils inconnus.
Si Google vous demande de confirmer une connexion que vous n’avez pas initiée, refusez.
Si vous avez saisi vos identifiants sur une page suspecte, changez immédiatement votre mot de passe depuis le véritable site Google, déconnectez les sessions inconnues et vérifiez les applications tierces autorisées. Pour un compte professionnel, prévenez également votre administrateur informatique.
Et Microsoft Outlook dans tout ça ?
Les utilisateurs de Microsoft Outlook et de Microsoft 365 ne sont malheureusement pas mieux lotis. Une invitation à une réunion Teams, un document partagé sur OneDrive ou un lien SharePoint peuvent également servir de prétexte pour attirer une victime vers une fausse page de connexion Microsoft. Le principe reste donc similaire à celui observé avec Google Agenda : exploiter la confiance accordée à un service connu pour pousser l’utilisateur à s’authentifier sur un site frauduleux.
Comment fonctionne une attaque AiTM ?
C’est ici qu’intervient une technique appelée Adversary-in-the-Middle (AiTM), littéralement « attaquant au milieu ». Plutôt que de simplement voler un mot de passe, le pirate place un serveur frauduleux entre la victime et le véritable service Microsoft. Lorsque celle-ci saisit ses identifiants, ce serveur transmet les informations à Microsoft et relaie même la demande de double authentification. La victime valide donc une connexion qui lui semble parfaitement normale, sans nécessairement réaliser qu’un intermédiaire malveillant participe à l’échange.
Pourquoi la double authentification ne suffit-elle pas toujours ?
Une fois la connexion validée, Microsoft délivre normalement un cookie de session permettant à l’utilisateur de rester connecté sans devoir saisir son mot de passe à chaque opération. Dans certaines attaques AiTM, le pirate parvient à intercepter ce cookie et à le réutiliser pour accéder au compte sans recommencer immédiatement la vérification en deux étapes. Cela ne signifie pas que toutes les protections MFA sont inefficaces : les passkeys et les clés de sécurité FIDO2 résistent notamment beaucoup mieux à ce type de phishing, car elles vérifient l’identité du véritable site auquel l’utilisateur se connecte.
Outlook est-il déjà concerné ?
Microsoft a déjà documenté plusieurs campagnes utilisant cette méthode contre les comptes Microsoft 365. Quant aux chercheurs ayant analysé l’opération CloudFire, ils ont relevé des indices suggérant une possible adaptation des outils des attaquants à l’environnement Microsoft, sans confirmer qu’une campagne CloudFire visant Outlook soit déjà active.
Que vous utilisiez Google Agenda ou Outlook, le danger ne vient donc pas de l’invitation elle-même, mais du faux site vers lequel elle peut vous conduire. Un rendez-vous auquel les pirates espèrent vous voir arriver à l’heure, avec votre mot de passe et votre double authentification en prime.
Sources et références
Analyses techniques et recommandations de sécurité concernant les fausses invitations Google Agenda, le phishing et le détournement des sessions de connexion.
Comment les invitations Google Agenda peuvent servir à détourner des sessions
Analyse du phishing utilisant les invitations de calendrier, les redirections et les serveurs intermédiaires capables d’intercepter certaines sessions authentifiées.
Opération CloudFire : bilan de la campagne et neutralisation de 897 domaines
Bilan des infrastructures malveillantes identifiées, des messages bloqués et des mesures prises pour perturber la campagne.
Une campagne de phishing via Google Agenda détourne des sessions et contourne la MFA
Présentation des techniques utilisées par les attaquants, de leurs cibles professionnelles et des limites des méthodes traditionnelles de double authentification.
Utiliser une clé d’accès pour se connecter à son compte Google
Explications officielles sur les passkeys, leur fonctionnement et leur résistance aux tentatives de phishing.
Vérifier les connexions et protéger son compte Google
Accès aux paramètres de sécurité, aux appareils connectés et aux options de protection du compte.
Informations disponibles au 5 novembre 2026. Les techniques décrites exploitent des mécanismes de phishing et de détournement de session ; elles ne démontrent pas une compromission directe de Google Agenda.
Les bons plans du jour sur Amazon
TCL PlayCube · Full HD
Projecteur portable Full HD avec batterie.
OtterBox · Sangle 2-en-1 bleue
Bandoulière et dragonne pour téléphone.
Livraison affichée : 3,99 €.
One For All WM2441 · 13 à 65 pouces
Support TV mural orientable et inclinable.
5 exemplaires affichés.
Prix relevés le 05/11/2026 à 08:45 (heure de Bruxelles), susceptibles de changer ; prix et disponibilité sur Amazon.fr au moment de l’achat faisant foi. Remises calculées sur la référence indiquée, arrondies à l’entier inférieur. Frais de livraison éventuels en supplément.
Liens affiliés : en tant que Partenaire Amazon, je réalise un bénéfice sur les achats remplissant les conditions requises.
