Un rendez-vous que vous n'avez jamais accepté apparaît soudain dans votre calendrier. Objet : « Nouvelle directive de l'entreprise : valider le document ». Le rappel s'affiche à l'heure prévue, le lien n'est qu'à un clic, et c'est précisément sur cela que comptent les attaquants.
Nous connaissons tous le phishing, ainsi que le quishing par QR code et le smishing par SMS. Le CalPhishing, contraction de « calendar phishing », fait entrer le phishing directement dans le calendrier. Au lieu de miser sur un e-mail suspect, les criminels utilisent des invitations à des réunions. De nombreux calendriers ajoutent automatiquement ces invitations, sans que personne ne les ait acceptées. Et contrairement à un e-mail, le rendez-vous ne disparaît pas simplement parce que le message a été supprimé ou filtré.
Le Cyber Snack d'octobre montre comment fonctionne cette ruse, pourquoi elle se multiplie en ce moment et ce qu'il faut faire lorsqu'un rendez-vous inconnu apparaît.
Comment un rendez-vous inconnu atterrit dans votre calendrier
L'invitation arrive deux fois : dans la boîte de réception et dans le calendrier. Si seul l'e-mail est supprimé, le rendez-vous reste.
Techniquement, une invitation à une réunion est un e-mail accompagné d'un fichier de calendrier, généralement au format .ics. Dans de nombreuses configurations, Outlook, Microsoft 365 et Google Agenda traitent ces fichiers automatiquement : le rendez-vous est inscrit avant même que quelqu'un ait ouvert le message. Dans Outlook, il apparaît alors avec le statut « Provisoire », discret mais bien visible.
C'est précisément ce qui rend l'arnaque si efficace. Les chercheurs de Sublime Security le résument ainsi : les invitations arrivent à la fois dans le calendrier et dans la boîte de réception, ce qui double l'exposition. Même si le filtre anti-spam place l'e-mail en quarantaine, le rendez-vous peut déjà figurer dans le calendrier.
Premiers secours face à un rendez-vous inconnu
Ne pas cliquer sur le lien du rendez-vous. Signaler le rendez-vous à l'équipe sécurité ou à l'IT. Puis le refuser sans envoyer de réponse, au lieu de simplement supprimer l'e-mail. Si l'e-mail a déjà été supprimé, rechercher le rendez-vous dans le calendrier et le retirer immédiatement.
Le cas : « Domaine expiré » et « Signature manquante »
Le terme CalPhishing a été forgé en mai 2026 par l'équipe de recherche de Fortra. Elle décrivait une campagne active depuis début 2026, qui visait spécifiquement des comptes Microsoft 365. Les rendez-vous portaient des objets comme « [Urgent]: Domain Renewal Failed » ou « Reminder for Signature – Vendor Information Verification », exactement le type de tâche administrative que l'on veut régler rapidement.
Du lien dans le calendrier à l'accès volé, en passant par un faux contrôle de sécurité : tout paraît légitime jusqu'au bout.
Quiconque cliquait sur le lien du rendez-vous arrivait d'abord sur un faux contrôle de sécurité de type Cloudflare, puis sur une copie de page DocuSign ou de registraire de domaines. Au bout du parcours se trouvait une véritable page de connexion Microsoft demandant de saisir un code d'appareil. C'est là toute la ruse : en saisissant le code, la victime ne se connecte pas elle-même, elle connecte l'appareil des attaquants. Les criminels obtiennent ainsi un jeton d'accès valide, et l'authentification à deux facteurs ne l'a pas empêché, puisque la victime l'a elle-même validée.
D'autres variantes sont plus simples, mais pas moins dangereuses. En juin 2026, Mimecast a documenté une campagne utilisant des fichiers de calendrier volontairement mal formés contenant un QR code, envoyés via l'infrastructure de Google et passant donc les contrôles d'authentification de l'expéditeur. Selon Mimecast, les principales cibles étaient le Royaume-Uni, l'Allemagne et les États-Unis.
Le filtre anti-spam a intercepté l'e-mail. Pas le rendez-vous.
Une vague à l'automne 2026
Depuis la fin de l'été, le CalPhishing a nettement pris de l'ampleur. Sublime Security a enregistré en août 2026 une hausse de 1 216 % par rapport au mois précédent et prévoyait une augmentation d'environ 33 000 % entre mai et septembre. Check Point a recensé, rien qu'à partir du 25 septembre 2026, plus de 302 000 e-mails de phishing distincts avec de fausses invitations, envoyés à plus de 40 000 organisations. Le 8 octobre, on en comptait près de 200 000 en une seule journée.
Les appâts sont aussi variés que dans le phishing classique : paiements échoués, comptes suspendus, factures, réunions Teams, nouvelles directives. Seul l'endroit où ils attendent est nouveau.
Notre Impuls sur les réunions en ligne montre aussi comment fonctionnent les fausses invitations. Et l'Impuls sur les ransomwares explique pourquoi un seul clic peut être le début d'une attaque bien plus vaste.
Pourquoi supprimer ne suffit pas
L'e-mail est supprimé depuis longtemps, mais le rendez-vous se rappelle à vous, parfois des mois plus tard.
Le réflexe naturel face à une invitation suspecte est de supprimer l'e-mail et de passer à autre chose. Avec le calendrier, cela ne fonctionne pas. Microsoft décrit explicitement ce comportement dans Outlook : si l'invitation est supprimée, la réunion provisoire reste dans le calendrier. Selon Fortra, la déplacer dans le dossier des courriers indésirables ne la retire pas non plus.
Particulièrement sournois : un rendez-vous peut être fixé loin dans le futur. Le rappel n'apparaît alors que des semaines ou des mois plus tard, quand plus personne ne se souvient de l'e-mail étrange. Ce qui s'affiche à l'écran n'est plus un spam, mais une notification de votre propre calendrier.
Pourquoi la ruse fonctionne si bien
Quatre caractéristiques rendent le CalPhishing particulièrement sournois. D'abord, l'entrée apparaît sans acceptation : elle est marquée « Provisoire » et affichée en pâle, mais le rappel s'affiche quand même avec le texte et le lien. Ensuite, la pression du temps : quand Outlook annonce « Échéance dans 15 minutes », cela semble urgent, et sous pression on agit plus vite et moins réfléchi. Troisièmement, la confiance dans le système : une notification de calendrier laisse penser que nous avons créé l'entrée nous-mêmes, ou quelqu'un que nous connaissons. Enfin, le rendez-vous reste en place même lorsque l'e-mail suspect a été supprimé depuis longtemps.
Au bout du compte, il s'agit toujours du lien de phishing classique. Le calendrier n'est que l'emballage qui le rend plus crédible. La bonne nouvelle : on peut se protéger très efficacement contre le CalPhishing. Dans le Cyber Snack, Eric et Tomislav donnent à la protection une note de 9 sur 10, à condition de respecter quelques règles de base.
Quatre idées reçues passées au crible
Idée reçue : ce qui finit dans les spams ne peut plus faire de mal. Faux. L'e-mail a peut-être été filtré, mais le rendez-vous peut quand même figurer dans le calendrier et se rappeler à vous plus tard.
Idée reçue : si je supprime l'e-mail, le rendez-vous disparaît aussi. Faux. Dans Outlook, une réunion provisoire ajoutée automatiquement reste en place après la suppression de l'invitation. Elle doit être retirée directement dans le calendrier.
Idée reçue : les liens du calendrier sont vérifiés automatiquement et donc sûrs. Faux. Un lien dans un rendez-vous n'est pas plus vérifié qu'un lien dans un e-mail. Il paraît seulement plus fiable parce qu'il vient de votre propre calendrier.
Vrai : même une véritable page Microsoft peut faire partie de l'attaque. Exact. Avec le phishing par code d'appareil, les victimes arrivent sur la vraie page de connexion et y saisissent un code qui donne accès aux attaquants.
Trois règles face aux invitations suspectes
1. Signaler plutôt que supprimer en silence
Signalez immédiatement les invitations suspectes à l'équipe sécurité ou à l'IT. Elles pourront ainsi vérifier si la même invitation se trouve aussi dans d'autres calendriers.
2. Refuser le rendez-vous, pas seulement supprimer l'e-mail
Retirez le rendez-vous directement dans le calendrier. Dans Outlook, de préférence via « Refuser » avec l'option de ne pas envoyer de réponse, pour ne pas confirmer aux criminels que votre adresse est active. Outlook retire alors le rendez-vous du calendrier, et l'e-mail est généralement supprimé automatiquement. Si l'e-mail a déjà été supprimé, recherchez le rendez-vous dans le calendrier et supprimez-le.
3. Vérifier les liens calmement
N'ouvrez jamais un lien issu d'un rendez-vous sous la pression du temps. Ne saisissez ni identifiants, ni données personnelles, ni code d'appareil si vous n'êtes pas sûr de savoir qui a créé le rendez-vous. En cas de doute : ne cliquez pas.
Ce que les équipes sécurité et awareness devraient en retenir
Pour les CISOs et responsables awareness, le CalPhishing montre qu'un filtre anti-spam n'est plus, à lui seul, la dernière ligne de défense. Si un e-mail finit en quarantaine mais que le rendez-vous reste dans le calendrier, deux choses sont nécessaires : des processus qui suppriment aussi les entrées de calendrier associées lors de la remédiation, et des collaborateurs qui reconnaissent un rendez-vous inconnu comme un signal d'alerte.
Une culture du signalement claire est tout aussi importante. En signalant un rendez-vous suspect à l'équipe sécurité ou à l'IT au lieu de le supprimer discrètement, on aide à repérer toute la campagne dans l'entreprise, car la même invitation se trouve généralement dans de nombreux calendriers à la fois.
Trois réglages pour l'IT
Vérifier si les invitations externes sont ajoutées automatiquement aux calendriers et, si nécessaire, restreindre ce comportement. Lors de la remédiation des e-mails de phishing signalés, supprimer aussi les entrées de calendrier associées. Et limiter, via des stratégies d'accès conditionnel, la connexion par code d'appareil aux cas où elle est réellement nécessaire.
Conclusion
Le CalPhishing n'est pas une nouvelle attaque, mais du phishing classique dans un nouvel endroit. Le calendrier donne à l'appât crédibilité, urgence et persistance : il reste, même quand l'e-mail a disparu depuis longtemps.
D'où trois règles à retenir : signaler les rendez-vous inconnus, refuser les invitations au lieu de simplement supprimer l'e-mail, et ne jamais ouvrir un lien sous la pression du temps. En cas de doute, ne pas cliquer et ne saisir aucune donnée.
Sources
Fortra Intelligence and Research Experts (FIRE), 14 mai 2026 : « New Calendar Invite Phishing Campaign: ICS Abuse and Post-Delivery Persistence » ; Mimecast Threat Research, 17 juin 2026 : « The Rise of Calendar Invite Abuse ».
Sublime Security, 17 septembre 2026 : « Sublime observes massive uptick in ICS phishing and calendar-based malware attacks » ; Check Point, 15 octobre 2026 : « Fake Calendar Invites Target Thousands of Organizations in Microsoft Credential-Phishing Campaign » ; Help Net Security, 20 octobre 2026 : « Quarantined, but still on your calendar ».
Microsoft Learn : « Remove a tentative meeting that's automatically added to your calendar » (Outlook pour Microsoft 365, 2021, 2019 et 2016).
