Hameçonnage par calendrier : des invitations antidatées déposent des liens malveillants dans les calendriers du personnel
L’invitation usurpe l’identité d’une personne que le destinataire connaît et porte une date déjà passée. Elle n’apparaît donc jamais dans la vue des rendez-vous à venir, et les formations conçues pour la boîte de réception ne l’atteignent pas.
Depuis le lundi 21 septembre 2026, le service desk de Penta à Dubaï traite une vague d’hameçonnage diffusé sous forme d’invitations de calendrier. L’expéditeur usurpe l’identité d’un utilisateur légitime, souvent une personne avec qui le destinataire échange chaque semaine. L’invitation présente un bandeau sombre aux couleurs d’une marque, le nom de l’entreprise du destinataire et un bouton unique. Penta a bloqué les adresses d’envoi et, dans les entreprises concernées, ajouté les utilisateurs dont l’identité était usurpée à la protection contre l’emprunt d’identité, le contrôle de Microsoft 365 qui signale les messages prétendant provenir d’un collègue répertorié.
C’est le mode de diffusion qui rend l’attaque efficace. Une invitation de calendrier n’est pas traitée comme une pièce jointe ordinaire. Le rapport trimestriel de Microsoft sur les menaces indique qu’un fichier d’invitation peut placer un lien malveillant directement dans un calendrier, sans que le destinataire ait à ouvrir ou à cliquer sur quoi que ce soit. Les formations de sensibilisation centrées sur la boîte de réception n’atteignent pas une entrée qui apparaît dans un calendrier.
L’invitation porte une date passée et n’apparaît donc jamais dans la vue des rendez-vous à venir
Les invitations repérées par Penta le 21 septembre étaient programmées au 16 septembre, une date déjà révolue. Un rendez-vous passé ne s’affiche pas dans la vue des rendez-vous à venir : personne ne le voit arriver et personne n’a de raison de l’ouvrir. Le lien reste dans le calendrier jusqu’à ce que quelqu’un remonte jusqu’à lui.
«
Un rendez-vous passé ne s’affiche pas dans la vue des rendez-vous à venir : personne ne le voit arriver.
La ligne de l’expéditeur trahit encore l’invitation
Dans un exemple, l’invitation provenait d’une adresse sur un domaine d’entreprise plausible, tandis que la ligne de l’expéditeur indiquait qu’elle avait été envoyée de la part d’un domaine sans rapport, situé dans un autre pays. C’est ce décalage qu’il faut apprendre à vérifier, et il reste visible quel que soit l’aspect du bandeau à l’intérieur de l’invitation.
Microsoft a vu les charges malveillantes par invitation de calendrier presque quadrupler en juin
Le phénomène dépasse largement Dubaï. Microsoft a enregistré une hausse de 277 % des charges malveillantes transmises par invitation de calendrier en juin 2026, soit près d’un quadruplement, alors qu’elles ne représentaient encore qu’environ 4 % de l’ensemble des charges malveillantes. Microsoft ne publie pas le nombre sous-jacent. Pour donner un ordre de grandeur, l’éditeur a détecté environ 7,6 milliards de menaces d’hameçonnage par e-mail sur le trimestre.
Que faire lorsqu’une telle invitation apparaît
N’appuyez sur aucun bouton de l’invitation.
Supprimez l’entrée. Ne la refusez pas, car un refus peut envoyer une réponse à l’expéditeur.
Signalez-la à votre prestataire informatique, avec l’adresse de l’expéditeur si vous la voyez encore.
Prévenez vos collègues si l’invitation semble provenir de vous.
le blocage des adresses d’envoi
la protection contre l’emprunt d’identité décrite plus haut
les liens fiables (Safe Links), qui vérifient un lien au moment du clic, et la purge automatique à l’heure zéro (ZAP), qui retire un message des boîtes aux lettres dès qu’il est identifié comme malveillant
des simulations d’hameçonnage couvrant ce scénario
Aucun réglage ne ferme à lui seul cette voie d’accès. Ce qui réduit l’exposition, c’est la combinaison que Penta applique déjà pour ses clients :
Le reste relève de la vigilance au poste de travail, et la vérification de la ligne de l’expéditeur prend quelques secondes.
«
Aucun réglage ne ferme à lui seul cette voie d’accès.
Si Penta gère votre Microsoft 365, ce point est traité dans le cadre de votre service géré et vous n’avez rien à faire. Si vous ne savez pas qui bloque ces attaques dans votre propre Microsoft 365, c’est le manque que nous comblons.
Jerome Del Rosario est spécialiste support informatique chez Penta à Dubaï. Il intervient sur l’administration de Microsoft 365, la gestion des terminaux et les opérations de sécurité qui sous-tendent le service managé de Penta.
