Veille menaces / Campagne
Une campagne d'hameçonnage par invitations d'agenda vole des sessions Google Workspace en cours
Depuis la mi-août, selon Material Security, une campagne d'hameçonnage utilise des invitations Google Agenda et un proxy en direct devant la vraie page de connexion Google pour voler des sessions ouvertes, même quand l'utilisateur saisit ses codes MFA. Les chiffres viennent de Material seul. Google n'a fait aucune déclaration.
- Secteur
- Tous secteurs
- Point d'entrée
- Hameçonnage, ingénierie sociale
- Produit ou fournisseur
- Google Workspace
- Comment c'est arrivé
- La victime reçoit une invitation d'agenda, souvent d'une organisation qu'elle connaît déjà, avec un appât comme une messagerie vocale, un appel d'offres ou une convocation judiciaire. Le lien mène à un proxy en direct devant la vraie page de connexion Google. Il transmet à Google les codes SMS, les codes d'authentificateur et la validation par numéro de Google au fur et à mesure, donc le MFA ne l'arrête pas. Selon Material, les domaines d'appât étaient jugés sains par les flux de réputation commerciaux jusqu'à la mi-septembre.[1] Vérifié le 8 nov. 2026
- Ce qui a été volé
- Une session Google ouverte. Selon Material, elle donne accès à la messagerie, à Drive et au droit d'accorder un accès OAuth au nom de la victime. Aucun nombre de comptes compromis n'est public.[1] Vérifié le 8 nov. 2026
- Qui est touché
- Des utilisateurs en entreprise. Material a compté 68 676 messages de la campagne bloqués en un mois, envoyés depuis 8 570 adresses d'expéditeur compromises sur 6 354 domaines racines, et a fait tomber 897 domaines. Les totaux ne couvrent que les clients ayant partagé leurs données. Aucune victime n'est nommée.[1][2] Vérifié le 8 nov. 2026
- Acteur
- Non attribué
Chronologie
- Material publie ses recherches : la campagne court depuis la mi-août, avec des invitations d'agenda et un proxy MFA en direct. Il signale aussi une branche Microsoft 365 inachevée dans le code et s'attend à un basculement vers elle. [1]
- Material rapporte un mois de démantèlements sous le nom d'Operation CloudFire. BleepingComputer, dans un article sponsorisé par Material, indique que les thèmes d'appât sont passés des invitations d'agenda aux invitations de partage Google Drive. [2]
- CloudNews.tech note que Google n'a fait aucune déclaration. Il signale un réglage d'administration Google (14 août) qui contrôle quelles invitations sont ajoutées automatiquement à l'agenda. [3]