Prise de rendez-vous en ligne, invitations à des réunions : ces outils font partie du quotidien de nombreux professionnels et candidats. Des chercheurs de Malwarebytes et de Netcraft ont récemment décrit deux techniques de phishing qui s’appuient sur ces usages. Voici ce qu’elles ont en commun, et les réflexes qui permettent de s’en prémunir.
Fausses pages Calendly : le cas des candidats à l’emploi
Selon Malwarebytes, des pages imitant Calendly sont utilisées dans une campagne visant des personnes en recherche d’emploi. Ces pages se présentent comme des pages de réservation pour un entretien téléphonique avec un recruteur de Meta, et demandent de renseigner quelques informations pour choisir un créneau.
L’utilisateur est ensuite redirigé vers une fausse page de connexion Facebook ou Google, qui vise à récupérer ses identifiants ainsi que ses codes d’authentification multifacteur (MFA). La page reste en communication avec le serveur des attaquants, ce qui leur permet de tester le mot de passe sur le vrai site presque immédiatement. Si un code est demandé, la fausse page le réclame également, afin qu’il puisse être utilisé avant son expiration. Pour les comptes Google, la page peut aussi inviter l’utilisateur à valider une notification sur son téléphone, ce qui revient à autoriser la connexion de l’attaquant. Pendant ce temps, l’utilisateur ne voit que la fausse page.
Invitations d’agenda : un leurre qui arrive directement dans le calendrier
Netcraft décrit une autre approche : l’envoi de fichiers d’invitation (.ics) qui déposent un leurre directement dans l’agenda de la personne, souvent sous la forme d’une réunion professionnelle. L’ajout de l’événement est un comportement normal de nombreux clients de messagerie, et il ne nécessite aucune action de l’utilisateur. L’invitation peut par ailleurs rester visible dans l’agenda même si l’e-mail d’origine a été supprimé.
Cette technique figure déjà dans certains kits de phishing largement diffusés. Netcraft cite par exemple la campagne EvilTokens, qui concerne les comptes Microsoft 365. Les invitations y prennent l’apparence de réunions, d’alertes ou de messages vocaux. Lorsque l’utilisateur les ouvre, il arrive sur une page contrôlée par l’attaquant, qui lui fournit un code d’appareil et lui demande de le saisir sur la page officielle d’autorisation de Microsoft.
Ce qui rend cette méthode efficace tient surtout aux habitudes : les invitations jointes aux e-mails sont devenues très courantes, et il est désormais normal de voir un événement apparaître dans son agenda sans l’avoir saisi soi-même.
Ce que cela change pour les organisations en France
Ces deux techniques reposent sur des usages répandus partout : outils de prise de rendez-vous, agendas partagés, comptes Microsoft 365 ou Google. Elles peuvent donc se retrouver dans n’importe quel contexte, y compris francophone, avec des messages adaptés à la langue et aux habitudes locales.
Pour les entreprises, il est utile de rappeler que les comptes personnels et professionnels se côtoient souvent sur un même poste, et que les invitations d’agenda sont rarement perçues comme un vecteur de risque. Les inclure dans les actions de sensibilisation permet de couvrir un angle encore peu abordé.
Les bons réflexes
Pour les candidats et les utilisateurs :
- Vérifier l’adresse plutôt que l’apparence. Les liens de réservation Calendly directs utilisent le domaine calendly.com. Un formulaire peut être intégré à un autre site, mais un domaine de recrutement inconnu justifie de vérifier l’invitation par un autre canal.
- Ne pas saisir de mot de passe de réseau social pour réserver un créneau. Planifier un appel ne nécessite pas de se connecter à Facebook ou à Google.
- Consulter la barre d’adresse réelle du navigateur. Certaines fausses fenêtres de connexion affichent leur propre barre d’adresse. Une fenêtre qui ne peut pas être déplacée en dehors de la page web fait probablement partie de cette page.
- Vérifier le recruteur et le poste en passant par le site carrières officiel de l’entreprise. Une offre authentique ne garantit pas que la personne qui contacte le candidat représente réellement l’entreprise.
- Ne jamais communiquer un code ni approuver une notification non sollicitée. Un code se saisit uniquement sur le vrai service, pour une connexion que l’on a soi-même lancée.
- Privilégier les clés d’accès (passkeys) ou une clé de sécurité lorsque c’est possible, car elles résistent à ce type de phishing.
Pour les équipes IT et sécurité :
- Considérer les invitations d’agenda comme des contenus à examiner, y compris lorsqu’elles apparaissent dans le calendrier sans intervention de l’utilisateur.
- c aux formes de phishing qui ne passent pas par l’e-mail classique : agenda, pages de réservation, codes d’appareil, validation de notifications.
- Rappeler la procédure de signalement et faciliter la remontée des messages ou invitations jugés suspects.
En résumé
Dans les deux cas, ce sont des fonctions courantes et légitimes qui sont détournées. Combiner une protection de la messagerie adaptée et une sensibilisation régulière permet à chacun de reconnaître les signaux utiles, y compris dans des outils familiers.
Learn more: découvrez comment KnowBe4 accompagne les organisations dans la formation de leurs équipes et la protection de leur messagerie.