Le phishing par invitation de calendrier est une attaque d'ingénierie sociale qui utilise une fausse invitation à une réunion pour diffuser un lien malveillant, une pièce jointe ou un numéro de téléphone. Comme l'invitation peut arriver directement dans le calendrier, le leurre reste visible même lorsque l'email est supprimé ou mis en quarantaine.
La technique progresse vite. En octobre 2026, Check Point a signalé une campagne de plus de 302 000 emails de phishing uniques envoyés à plus de 40 000 organisations, avec de fausses invitations destinées à voler les identifiants de comptes Microsoft.
Points clés
- Une invitation de phishing n'a pas besoin de réponse pour fonctionner : l'ajout automatique peut la placer dans le calendrier.
- Mettre l'email en quarantaine ne supprime pas toujours l'événement, ce qui laisse une seconde chance au leurre.
- Les leurres courants sont les fausses réunions Microsoft Teams, les alertes de paiement ou de renouvellement et les numéros à rappeler.
- Les paramètres du calendrier, une remédiation qui couvre les événements et des employés formés comblent l'essentiel de l'écart.
Comment fonctionne une attaque de phishing par invitation de calendrier ?
Ce type d'attaque détourne le circuit normal des demandes de réunion. L'attaquant envoie une invitation par email, le service de calendrier l'ajoute comme événement et le texte de l'événement pousse le destinataire vers un lien, un fichier ou un appel. Aucune faille logicielle n'est en jeu : l'attaque repose sur les fonctionnalités du calendrier et sur la confiance accordée aux réunions.
Les invitations de calendrier sont aussi l'un des vecteurs des attaques ClickFix, où une fausse page de réunion demande à la victime d'exécuter elle-même un « correctif » sur son ordinateur.
À quoi ressemblent les leurres de phishing par invitation de calendrier ?
La plupart des leurres imitent le travail courant : une réunion Teams, une facture à vérifier, un compte qui expire. Le tableau ci-dessous recense les variantes documentées par des chercheurs en sécurité en 2025 et 2026.
| Leurre | Ce que voit le destinataire | Ce que cherche l'attaquant | Source |
|---|---|---|---|
| Fausse réunion Microsoft Teams | Une invitation ordinaire avec un lien « Rejoindre » | Les identifiants du compte Microsoft | Check Point, octobre 2026 |
| Instructions d'appel | Une invitation qui demande d'ignorer le lien de visioconférence et d'appeler un numéro | Une conversation téléphonique pour obtenir des informations ou un paiement | Sublime Security, novembre 2025 |
| QR code dans un PDF | Une invitation à caractère financier, sans texte, avec un PDF copié dans l'événement | Des identifiants, saisis sur le téléphone du destinataire | Sublime Security, novembre 2025 |
| Expiration urgente de domaine | Un événement d'une semaine avec des invités comme « IT Support Desk » et une pièce jointe HTML | Une connexion sur une fausse page Microsoft et GoDaddy | Sublime Security, novembre 2025 |
| Leurre financier depuis un compte Gmail | Une invitation Google Agenda menant à une page créée avec Framer | L'installation de ScreenConnect, un outil légitime de gestion à distance, comme porte dérobée | Help Net Security, octobre 2026 |
| Alerte de renouvellement ou de paiement | Un événement annonçant qu'un paiement important va être débité | Un appel à un faux service client pour obtenir un mot de passe ou un virement | thinkmoney, octobre 2026 |
La variante avec instructions d'appel transforme le phishing par invitation en vishing par rappel, où le leurre écrit ne sert qu'à déclencher un appel. La variante avec QR code déplace l'attaque vers un téléphone personnel, le même glissement qui rend le phishing par QR code difficile à surveiller.
Pourquoi les filtres email ne détectent-ils pas le phishing par invitation de calendrier ?
Les filtres passent à côté parce qu'une invitation arrive à deux endroits : la boîte de réception et le calendrier. Une solution de sécurité email peut mettre le message en quarantaine pendant que l'événement reste dans le calendrier. « Les invitations à des réunions sont envoyées à la fois dans les calendriers et dans les boîtes de réception. Cela double l'exposition des cibles », explique Mark Morris, Threat Detection Engineer chez Sublime, cité par Help Net Security en octobre 2026.
Trois autres facteurs compliquent la détection :
- Une légitimité empruntée. Google réécrit les liens des invitations pour les faire passer par google.com, ce qui les rend plus rassurants, comme l'a relevé Help Net Security. Des campagnes antérieures allaient plus loin et usurpaient des notifications Google Agenda au nom de contacts de confiance, une forme d'usurpation d'email qui a touché environ 300 marques en quatre semaines, selon Cybersecurity News en décembre 2024.
- Une infrastructure jetable. Sur une seule campagne, Check Point a compté plus de 33 890 domaines et 247 270 adresses d'expédition, ce qui limite l'intérêt des listes de blocage.
- Une remédiation partielle. Microsoft Defender for Office 365 supprime désormais l'événement associé lorsque les analystes suppriment définitivement un email d'invitation, a rapporté Help Net Security en novembre 2025. Les événements ajoutés via des fichiers .ics ne sont pas couverts, et ils peuvent réapparaître si l'expéditeur renvoie l'invitation.
À quelle vitesse le phishing par invitation de calendrier progresse-t-il ?
La télémétrie des éditeurs montre une croissance de plusieurs ordres de grandeur en 2026. Les deux chiffres ci-dessous proviennent de la base clients de chaque éditeur, et aucun n'a publié sa méthodologie complète.
| Source | Ce qui a été observé |
|---|---|
| Check Point (octobre 2026) | Quelques milliers d'emails d'invitation malveillants par mois en avril, plus de 118 000 en septembre et plus de 740 000 sur les deux premières semaines d'octobre, selon Check Point. Le jour le plus actif, le 8 octobre, en a compté près de 200 000. |
| Sublime Security (via Help Net Security, octobre 2026) | Une hausse de 1 216 % d'un mois sur l'autre en août 2026, d'après Help Net Security. La première quinzaine de septembre a dépassé à elle seule tout le mois d'août de 1 426 %. |
Comment les organisations peuvent-elles se protéger du phishing par invitation de calendrier ?
La protection combine trois niveaux : limiter les invitations qui atteignent le calendrier, s'assurer que la remédiation supprime les événements et pas seulement les emails, et former les employés à traiter une invitation inattendue comme tout autre message suspect.
Pour les équipes de sécurité
- Restreindre l'ajout automatique dans Google Workspace. Dans la console d'administration (Applications, Google Workspace, Agenda, Paramètres avancés), limitez l'option « Ajouter les invitations à mon agenda » aux expéditeurs connus ou aux invitations auxquelles l'utilisateur a répondu par email, comme le recommande Sublime Security.
- Étendre la remédiation au calendrier. Dans Microsoft Defender for Office 365, utilisez la suppression définitive sur les emails d'invitation malveillants pour que l'événement lié disparaisse aussi, puis vérifiez séparément les événements ajoutés à partir de fichiers .ics.
- Bloquer des domaines entiers. La Tenant Allow/Block List de Defender permet de bloquer un domaine de phishing entier plutôt que des URL isolées, précise Help Net Security.
- Repérer les signaux d'alerte. Recherchez les invitations inattendues d'expéditeurs inconnus utilisant des messageries gratuites, les invitations professionnelles à caractère financier urgent et les liens vers des créateurs de sites gratuits, les signaux listés par Help Net Security.
- Former les employés à ce format. Intégrez les invitations de calendrier et les numéros à rappeler dans la sensibilisation à la cybersécurité, pour que chacun reconnaisse le leurre où qu'il apparaisse.
Pour les employés
- Ne cliquez sur aucun lien, ne scannez aucun QR code et n'appelez aucun numéro figurant dans une invitation inattendue.
- Vérifiez l'organisateur, puis confirmez la réunion avec cette personne par un autre canal.
- Considérez comme suspecte toute invitation qui demande une connexion, un téléchargement ou un paiement.
- Signalez l'invitation à votre équipe de sécurité au lieu de simplement la supprimer, comme vous le feriez pour signaler un email frauduleux.
- Sur un compte Google personnel, ouvrez Paramètres, puis Général, puis Paramètres des événements, et réglez « Ajouter les invitations à mon agenda » sur « Seulement si l'expéditeur est connu », comme le conseille thinkmoney.
Le phishing par invitation de calendrier fonctionne parce qu'une réunion ressemble à du travail ordinaire. Les simulations de phishing d'Arsen entraînent les employés à repérer et signaler les leurres qui empruntent des formats de confiance, et ses simulations de vishing les préparent au moment où une invitation leur demande d'appeler un numéro.