Depuis le lundi 21 septembre 2026, le service desk de Penta à Dubaï traite une vague d’hameçonnage diffusé sous forme d’invitations de calendrier. L’expéditeur usurpe l’identité d’un utilisateur légitime, souvent une personne avec qui le destinataire échange chaque semaine. L’invitation présente un bandeau sombre aux couleurs d’une marque, le nom de l’entreprise du destinataire et un bouton unique. Penta a bloqué les adresses d’envoi et, dans les entreprises concernées, ajouté les utilisateurs dont l’identité était usurpée à la protection contre l’emprunt d’identité, le contrôle de Microsoft 365 qui signale les messages prétendant provenir d’un collègue répertorié.
C’est le mode de diffusion qui rend l’attaque efficace. Une invitation de calendrier n’est pas traitée comme une pièce jointe ordinaire. Le rapport trimestriel de Microsoft sur les menaces indique qu’un fichier d’invitation peut placer un lien malveillant directement dans un calendrier, sans que le destinataire ait à ouvrir ou à cliquer sur quoi que ce soit. Les formations de sensibilisation centrées sur la boîte de réception n’atteignent pas une entrée qui apparaît dans un calendrier.
Les invitations repérées par Penta le 21 septembre étaient programmées au 16 septembre, une date déjà révolue. Un rendez-vous passé ne s’affiche pas dans la vue des rendez-vous à venir : personne ne le voit arriver et personne n’a de raison de l’ouvrir. Le lien reste dans le calendrier jusqu’à ce que quelqu’un remonte jusqu’à lui.
Dans un exemple, l’invitation provenait d’une adresse sur un domaine d’entreprise plausible, tandis que la ligne de l’expéditeur indiquait qu’elle avait été envoyée de la part d’un domaine sans rapport, situé dans un autre pays. C’est ce décalage qu’il faut apprendre à vérifier, et il reste visible quel que soit l’aspect du bandeau à l’intérieur de l’invitation.
Le phénomène dépasse largement Dubaï. Microsoft a enregistré une hausse de 277 % des charges malveillantes transmises par invitation de calendrier en juin 2026, soit près d’un quadruplement, alors qu’elles ne représentaient encore qu’environ 4 % de l’ensemble des charges malveillantes. Microsoft ne publie pas le nombre sous-jacent. Pour donner un ordre de grandeur, l’éditeur a détecté environ 7,6 milliards de menaces d’hameçonnage par e-mail sur le trimestre.
Aucun réglage ne ferme à lui seul cette voie d’accès. Ce qui réduit l’exposition, c’est la combinaison que Penta applique déjà pour ses clients :
Le reste relève de la vigilance au poste de travail, et la vérification de la ligne de l’expéditeur prend quelques secondes.
Si Penta gère votre Microsoft 365, ce point est traité dans le cadre de votre service géré et vous n’avez rien à faire. Si vous ne savez pas qui bloque ces attaques dans votre propre Microsoft 365, c’est le manque que nous comblons.
Microsoft Threat Intelligence and Microsoft Defender Security Research Team (2026) ‘Email threat landscape: Q2 2026 trends and insights’, Microsoft Security Blog, 23 July. Available at: https://www.microsoft.com/en-us/security/blog/2026/07/23/email-threat-landscape-q2-2026-trends-and-insights/ (Accessed: 24 September 2026).