Vous pensiez avoir enfin trouvé la paix en fermant votre boîte mail ? Raté. Les cybercriminels viennent désormais directement squatter votre agenda. Et le plus amusant, si l’on peut dire, c’est qu’ils n’ont même plus besoin de vous envoyer un joli mail bourré de fautes d’orthographe avec “URGENT !!!” écrit en rouge.
Le nouveau terrain de jeu s’appelle “calendar phishing“, ou phishing via les invitations de calendrier. Le principe est aussi simple qu’assez vicieux : au lieu de simplement vous envoyer un message contenant un lien douteux, l’attaquant vous envoie une véritable invitation à un événement, souvent via Google Calendar ou Microsoft Outlook.
Et puisque votre calendrier est généralement considéré comme un outil professionnel légitime, l’invitation peut tranquillement venir s’installer au milieu de vos réunions, rendez-vous chez le dentiste et autres visios qui auraient très bien pu être un e-mail.
Selon les chercheurs de Sublime Security, les attaques utilisant des fichiers de calendrier ICS ont explosé ces derniers mois. Elles auraient progressé de 282 % entre mai et juin, de 338 % entre juin et juillet, puis de 1.216 % entre juillet et août.
Durant la première moitié de septembre, Sublime a encore observé une hausse de 1.426 % par rapport à l’ensemble du mois d’août. Sur la base de cette progression, l’entreprise projette une augmentation d’environ 33.000 % entre mai et septembre 2026.
Attention toutefois : il s’agit d’une projection basée sur les observations de Sublime Security et non de 33.000 % d’attaques supplémentaires déjà comptabilisées sur l’ensemble d’Internet.
Mais même sans sortir la calculatrice scientifique, la tendance est suffisamment spectaculaire pour mériter un peu d’attention.
Une invitation de calendrier possède un avantage énorme pour les escrocs : elle peut arriver dans deux endroits différents.
Le message arrive dans votre boîte mail et, selon la configuration de votre service, l’événement peut également apparaître directement dans votre calendrier. Cela crée un petit trou dans la raquette. Les systèmes de sécurité peuvent supprimer ou placer le message d’origine en quarantaine alors que l’événement reste visible dans le calendrier.
En clair : le mail peut être mort, mais son zombie peut continuer à vivre dans votre agenda.
Les attaquants peuvent utiliser un fichier .ics, le format standard des invitations de calendrier, pour ajouter dans l’événement un texte, un lien, un QR code ou une instruction. Et là, le scénario devient particulièrement efficace.
Vous recevez par exemple une invitation intitulée « Facture », « Notification de paiement », « Mise à jour RH », ou autre joyeuseté administrative. Vous ouvrez l’événement et découvrez un bouton vous demandant de consulter un document, de confirmer une information ou de résoudre un problème. Le lien peut alors conduire vers une fausse page de connexion destinée à voler vos identifiants.
Dans certaines campagnes observées récemment, les chercheurs ont même vu les attaquants utiliser une invitation Google Calendar pour pousser une victime vers l’installation d’un logiciel de prise de contrôle à distance. Une fois installé, ce type d’outil peut permettre aux attaquants de prendre la main sur la machine et de poursuivre l’attaque avec d’autres logiciels malveillants.
Et non, le fait que le logiciel utilisé soit un outil légitime ne rend évidemment pas l’opération légitime. C’est comme utiliser une vraie clé USB pour voler un ordinateur : le problème n’est pas la clé.
Certaines campagnes utilisent également des QR codes directement dans les invitations.
Le principe est malin : plutôt que de vous afficher une URL suspecte, le message vous demande de scanner un joli petit carré noir et blanc avec votre smartphone.
Vous quittez alors potentiellement l’environnement de sécurité de votre ordinateur pour votre téléphone personnel, où les protections de l’entreprise ne sont plus forcément les mêmes.
Le QR code n’est donc pas devenu maléfique. Il est simplement devenu une excellente cachette pour une URL que vous n’auriez probablement jamais cliquée si elle était affichée en toutes lettres.
La première règle est assez simple : un événement que vous n’attendez pas mérite exactement le même niveau de méfiance qu’un e-mail suspect.
Si votre banque, votre employeur, Microsoft, Google, un fournisseur ou une administration vous demande soudainement de cliquer sur un lien depuis une invitation inattendue, ne cliquez pas immédiatement.
Vérifiez l’expéditeur. Regardez le contenu de l’événement. Méfiez-vous des demandes urgentes, des paiements, des changements de mot de passe, des documents à télécharger et des QR codes.
Et surtout, si vous devez vérifier une information, ouvrez vous-même le site officiel dans votre navigateur plutôt que d’utiliser le lien présent dans l’invitation.
Google permet également de configurer Calendar afin que les invitations provenant d’expéditeurs inconnus ne soient pas automatiquement ajoutées au calendrier. Il est aussi possible de signaler une invitation comme spam.
C’est probablement la partie la plus importante à retenir. Pendant des années, on a appris à ne pas cliquer sur les liens suspects reçus par e-mail. Désormais, cette prudence doit s’étendre à tout ce qui peut apparaître dans votre environnement numérique, y compris votre agenda.
Parce qu’une invitation à “Réunion d’équipe comptabilité : Le point sur les comptes 2026” peut effectivement être une réunion avec la comptabilité.
Mais elle peut aussi être une invitation très polie à donner vos identifiants à quelqu’un qui ne vous veut absolument pas du bien.
Et franchement, entre les réunions Teams qui auraient pu être des mails et les invitations de calendrier qui sont en réalité du phishing, le calendrier professionnel commence sérieusement à avoir besoin d’un service de sécurité.
À 9 ans, on découvre généralement Minecraft, les devoirs et les limites très précises de…
La RTBF change de patron, et cette fois, ce n’est pas un nouveau générique que…
Il y a un an, si vous m’aviez croisé, je pesais plus de 85 kilos,…
Jusqu’ici, je regardais les enregistreurs dopés à l’IA avec une certaine distance. Je comprenais l'intérêt…
Si vous travaillez dans une grande entreprise, il y a de fortes chances que vous…
Il fut un temps où, en Belgique, faire du sport signifiait courir sous la pluie…
