Phishing : une nouvelle menace passe par vos calendriers Outlook et Teams
De fausses invitations de réunion s'inscrivent dans les agendas Outlook, Teams ou Google de vos collaborateurs pour les pousser à cliquer sur un lien frauduleux. Mode opératoire, signaux d'alerte, bons réflexes et réglages à activer : l'essentiel pour protéger votre organisation.
Fausses invitations de réunion : comprendre l'attaque et préparer vos équipes
Un rendez-vous apparaît dans votre agenda, avec un lien de connexion : rien ne ressemble moins à une attaque, et c'est précisément ce qui la rend efficace.
Une technique de phishing se déploie discrètement dans les entreprises : des cyberattaquants envoient de fausses invitations de réunion, qui peuvent s'ajouter automatiquement au calendrier Outlook, Teams ou Google Agenda des collaborateurs.
Cet espace, traditionnellement perçu comme neutre et fiable, devient ainsi une porte d'entrée idéale pour pousser à cliquer sur un lien frauduleux. Le procédé contourne en partie les filtres de messagerie et exploite un lieu où la vigilance est plus faible : l'agenda quotidien.
En une phrase : le phishing par calendrier consiste à envoyer de fausses invitations de réunion qui s'inscrivent dans l'agenda Outlook, Teams ou Google de la cible, afin de l'amener à cliquer sur un lien frauduleux ou à saisir ses identifiants, en contournant une partie des filtres de messagerie.
Au sommaire de cet article
1. Comment fonctionne le phishing par calendrier ?
Le phishing par calendrier repose sur un mécanisme banal : une invitation de réunion. Par défaut, Outlook, Teams et Google Agenda inscrivent souvent les invitations reçues dans l'agenda du destinataire, à titre provisoire, avant même qu'il y ait répondu. L'attaquant n'a donc pas besoin que sa cible ouvre un e-mail : le rendez-vous s'affiche de lui-même, avec son rappel et son lien.
Deux variantes ont été documentées par les éditeurs de sécurité :
L'invitation qui passe pour une notification légitime
Fin 2024, les chercheurs de Check Point ont observé une campagne ayant utilisé Google Agenda pour envoyer plus de 4 000 invitations frauduleuses en quatre semaines. Parce qu'elles étaient émises par le service de Google lui-même, ces invitations passaient les contrôles d'authentification de la messagerie (SPF, DKIM, DMARC) et arrivaient en boîte de réception. Le lien menait vers une page Google Forms ou Google Drawings, elle-même renvoyant vers un faux formulaire de connexion (BleepingComputer, décembre 2024).
La fausse réunion Teams qui détourne l'authentification
En février 2025, Microsoft a décrit la campagne d'un groupe baptisé Storm-2372 : de fausses invitations à des réunions Teams invitaient la cible à « s'authentifier » en saisissant un code d'appareil généré par l'attaquant. En le saisissant sur la véritable page de Microsoft, la victime remettait à l'attaquant un jeton d'accès valide à son compte, sans jamais lui communiquer son mot de passe. Les secteurs visés incluaient les services informatiques, la santé, l'enseignement supérieur et les administrations (Microsoft Security Blog, février 2025).
Une idée reçue à écarter : une invitation qui provient réellement de Microsoft ou de Google n'est pas pour autant une invitation sûre. Ce qui compte, c'est l'organisateur de la réunion et la destination du lien, pas le service qui transporte l'invitation.
2. Pourquoi cette attaque fonctionne-t-elle aussi bien ?
Trois ressorts expliquent l'efficacité de cette technique, qui combine un canal peu surveillé et des comportements du quotidien.
Les trois ressorts de l'attaque
Et la double authentification ? Elle reste indispensable et bloque la majorité des vols de mot de passe. Mais la variante par code d'appareil montre que certaines méthodes peuvent être contournées : Microsoft recommande des méthodes résistantes au phishing, comme les clés FIDO2. Pour aller plus loin, lisez notre article sur la double authentification dans les PME.
3. Comment reconnaître une invitation malveillante ?
Aucun signal pris isolément ne suffit à conclure, mais leur combinaison doit alerter. Voici ceux qui reviennent le plus souvent dans les campagnes observées.
Les signaux d'une invitation suspecte
4. Les bons réflexes à transmettre à vos équipes
Face à une invitation douteuse, quelques gestes simples suffisent à neutraliser l'essentiel du risque. Le plus important est d'en faire des automatismes partagés par tous.
Un clic n'est pas une faute, le silence est un risque : un collaborateur qui signale rapidement une erreur permet au support de réinitialiser le mot de passe et de fermer les sessions ouvertes avant que l'attaquant les exploite. Si le compte a été compromis, l'intervention d'une équipe de remédiation limite les conséquences.
5. Les réglages à activer côté administrateur
La sensibilisation fait l'essentiel, mais plusieurs paramètres réduisent le nombre d'invitations piégées qui atteignent les agendas. Leur pertinence dépend de votre environnement et de vos usages : à arbitrer avec votre prestataire informatique.
Quatre leviers techniques
6. Entraîner vos équipes : les campagnes anti-phishing Blue Serve
Les entreprises utilisent massivement Outlook, Teams et Google Workspace. Ces outils sont devenus des points stratégiques pour les attaquants : ils regroupent la communication interne, les accès aux services cloud et les données sensibles. Pour réduire concrètement les risques, Blue Serve propose un service de campagne de test de phishing personnalisée. Ces campagnes permettent à votre organisation de passer d'une simple sensibilisation théorique à une vigilance mesurée, réelle et durable.
Ce que nos campagnes apportent
Simuler des attaques réalistes permet
Préparer une simulation : information des représentants du personnel, traitement des données collectées, choix des scénarios. Nous détaillons la méthode dans notre article Organiser une simulation de phishing en entreprise.
FAQ : phishing par calendrier
Qu'est-ce que le phishing par calendrier et comment le reconnaître ?
Pourquoi cette technique est-elle particulièrement dangereuse pour les entreprises ?
Quels signes indiquent qu'une invitation de calendrier est suspecte ?
La double authentification suffit-elle à se protéger ?
Comment protéger mes collaborateurs contre ce type de phishing ?
Que sont les campagnes de test de phishing proposées par Blue Serve ?
Que faire si un collaborateur clique sur une invitation suspecte ?
Sources
Pour conclure : faire de l'agenda un espace réellement sûr
Le phishing par calendrier exploite un outil que chacun consulte plusieurs fois par jour sans s'en méfier. Pour s'en protéger, trois leviers se complètent : des collaborateurs qui savent reconnaître une invitation suspecte et la signaler, des réglages qui limitent les invitations externes non sollicitées, et une authentification forte qui réduit l'impact d'un clic.
Blue Serve accompagne les PME, les ETI, les établissements de santé et les collectivités depuis ses agences de Lille, Lyon et Nantes : campagnes de test de phishing, formations, sécurisation des messageries et remédiation en cas d'incident.
Découvrez nos autres articles
Cybermois : 10 actions pour sensibiliser vos équipes à la cybersécurité
Organiser une simulation de phishing en entreprise : méthode, cadre légal et erreurs à éviter
Double authentification : pourquoi 3 PME sur 4 restent exposées au piratage de comptes
Salon Industrie Grand Ouest 2026 : retrouvez Blue Serve à Nantes du 6 au 8 octobre
PME industrielle : votre système d’information est-il prêt pour la transformation numérique ?
