Une nouvelle attaque de phishing est en cours. Et celle-ci exploite les fonctionnalités de Google Calendar pour envoyer des invitations frauduleuses. Ces e-mails, difficiles à détecter, passent les filtres anti-spam et ciblent des milliers d’utilisateurs.

Le phishing est une méthode bien connue des cybercriminels pour voler des informations personnelles ou professionnelles. Mais cette fois, ils utilisent un outil inattendu : Google Calendar. Les pirates envoient des invitations de réunion contenant des liens frauduleux, qui paraissent légitimes grâce à l’utilisation des services de Google. Ces invitations peuvent même inclure d’autres participants, rendant le piège encore plus crédible. Une fois le lien cliqué, les victimes sont redirigées vers des sites malveillants conçus pour voler leurs identifiants.

D’après Check Point, une société spécialisée en cybersécurité, cette campagne a déjà ciblé plus de 300 entreprises et institutions, avec plus de 4 000 e-mails envoyés en seulement un mois. Les secteurs touchés sont variés : éducation, santé, banques, et même des entreprises de construction. Les pirates utilisent des services comme Google Forms et Google Drawings pour cacher leurs intentions. Ces pages semblent légitimes mais contiennent des boutons qui redirigent les utilisateurs vers des sites frauduleux, leur demandant de fournir des informations personnelles sensibles.

Google Calendar devient une arme pour les cybercriminels

Ce n’est pas la première fois que Google Calendar est utilisé à des fins malveillantes. En 2023, des pirates avaient déjà exploité Google Agenda pour diffuser des malwares via des liens intégrés dans des événements. Cette méthode fonctionne car elle s’appuie sur la confiance des utilisateurs envers les services de Google. Les e-mails d’invitation arrivent directement dans les boîtes de réception, sans être bloqués par les filtres anti-spam, car ils semblent provenir de sources fiables.

Pour se protéger, il est crucial de vérifier la source de chaque invitation. Si un lien vous paraît suspect ou si vous ne reconnaissez pas l’expéditeur, ne cliquez pas. Google Workspace propose des outils pour bloquer automatiquement les invitations non vérifiées, mais ces paramètres doivent être activés manuellement. En restant vigilant et en configurant correctement vos outils, vous pouvez éviter de tomber dans le piège de ces attaques sophistiquées, qui exploitent des services que nous utilisons quotidiennement.

Source : Bleeping Computer