Prise de rendez-vous en ligne, invitations à des réunions : ces outils font partie du quotidien de nombreux professionnels et candidats. Des chercheurs de Malwarebytes et de Netcraft ont récemment décrit deux techniques de phishing qui s’appuient sur ces usages. Voici ce qu’elles ont en commun, et les réflexes qui permettent de s’en prémunir.
Selon Malwarebytes, des pages imitant Calendly sont utilisées dans une campagne visant des personnes en recherche d’emploi. Ces pages se présentent comme des pages de réservation pour un entretien téléphonique avec un recruteur de Meta, et demandent de renseigner quelques informations pour choisir un créneau.
L’utilisateur est ensuite redirigé vers une fausse page de connexion Facebook ou Google, qui vise à récupérer ses identifiants ainsi que ses codes d’authentification multifacteur (MFA). La page reste en communication avec le serveur des attaquants, ce qui leur permet de tester le mot de passe sur le vrai site presque immédiatement. Si un code est demandé, la fausse page le réclame également, afin qu’il puisse être utilisé avant son expiration. Pour les comptes Google, la page peut aussi inviter l’utilisateur à valider une notification sur son téléphone, ce qui revient à autoriser la connexion de l’attaquant. Pendant ce temps, l’utilisateur ne voit que la fausse page.
Netcraft décrit une autre approche : l’envoi de fichiers d’invitation (.ics) qui déposent un leurre directement dans l’agenda de la personne, souvent sous la forme d’une réunion professionnelle. L’ajout de l’événement est un comportement normal de nombreux clients de messagerie, et il ne nécessite aucune action de l’utilisateur. L’invitation peut par ailleurs rester visible dans l’agenda même si l’e-mail d’origine a été supprimé.
Cette technique figure déjà dans certains kits de phishing largement diffusés. Netcraft cite par exemple la campagne EvilTokens, qui concerne les comptes Microsoft 365. Les invitations y prennent l’apparence de réunions, d’alertes ou de messages vocaux. Lorsque l’utilisateur les ouvre, il arrive sur une page contrôlée par l’attaquant, qui lui fournit un code d’appareil et lui demande de le saisir sur la page officielle d’autorisation de Microsoft.
Ce qui rend cette méthode efficace tient surtout aux habitudes : les invitations jointes aux e-mails sont devenues très courantes, et il est désormais normal de voir un événement apparaître dans son agenda sans l’avoir saisi soi-même.
Ces deux techniques reposent sur des usages répandus partout : outils de prise de rendez-vous, agendas partagés, comptes Microsoft 365 ou Google. Elles peuvent donc se retrouver dans n’importe quel contexte, y compris francophone, avec des messages adaptés à la langue et aux habitudes locales.
Pour les entreprises, il est utile de rappeler que les comptes personnels et professionnels se côtoient souvent sur un même poste, et que les invitations d’agenda sont rarement perçues comme un vecteur de risque. Les inclure dans les actions de sensibilisation permet de couvrir un angle encore peu abordé.
Pour les candidats et les utilisateurs :
Pour les équipes IT et sécurité :
Dans les deux cas, ce sont des fonctions courantes et légitimes qui sont détournées. Combiner une protection de la messagerie adaptée et une sensibilisation régulière permet à chacun de reconnaître les signaux utiles, y compris dans des outils familiers.
Learn more: découvrez comment KnowBe4 accompagne les organisations dans la formation de leurs équipes et la protection de leur messagerie.