JADEPUFFER : une opération de rançongiciel pilotée par un agent d’IA.
JADEPUFFER : les observations de Sysdig sur une opération pilotée par un agent d’IA, les limites de l’analyse et les enseignements pour la défense.
Une réunion apparaît entre deux rendez-vous. Son objet évoque une facture, une validation ou un échange avec un partenaire. Vous ouvrez le lien pour savoir de quoi il s’agit, puis une page réclame votre connexion Microsoft. Le piège ne ressemble pas forcément à un courriel suspect : il emprunte le format d’un objet que vous utilisez tous les jours.
En résumé
- Une invitation de calendrier peut transporter un lien de phishing sans exploiter une faille du logiciel.
- Le format ICS décrit un événement ; il ne certifie ni son organisateur ni la destination de ses liens.
- Une réunion inattendue doit être vérifiée par un canal déjà connu avant toute connexion.
- Après une saisie d’identifiants, le signalement et l’examen du compte priment sur la simple suppression de l’événement.
- La protection doit couvrir la messagerie, le calendrier et les connexions au compte.
Pourquoi ce sujet revient dans l’actualité
Le 15 octobre 2026, Check Point a décrit des campagnes de vol d’identifiants Microsoft utilisant de fausses invitations, notamment des pièces jointes au format ICS. L’éditeur rapporte une hausse observée depuis le 25 septembre. Il s’agit d’observations issues de sa visibilité, pas d’une mesure exhaustive de toutes les attaques. Lire l’analyse originale.
L’enseignement pour une organisation est concret : ses exercices de sensibilisation doivent aussi montrer des objets de travail ordinaires. Le salarié qui se méfie d’un fichier exécutable peut accorder davantage de crédit à un créneau de réunion. Cette différence de perception mérite une explication, sans culpabiliser la personne ciblée.
ICS, Outlook et Teams : comprendre ce qui inspire confiance
Un fichier ICS contient des informations de calendrier : un objet, des horaires, une description et éventuellement des liens. Sa validité technique indique qu’un logiciel sait le lire. Elle ne constitue pas une validation de l’intention de l’expéditeur. De même, afficher un nom familier ne prouve pas que la demande vient réellement de cette personne.
Selon le client et ses réglages, une invitation peut aussi produire un événement ou des rappels. Il faut donc examiner le message et l’entrée de calendrier séparément. Supprimer l’un ne permet pas de supposer que l’autre a disparu. Cela ne signifie pas que toute invitation externe est dangereuse : les échanges avec des clients et des fournisseurs restent nécessaires.
- InvitationUn prétexte professionnel attire l’attention.
- Lien de réunionLa personne cherche le document ou la visioconférence.
- Connexion inattendueUne page demande des informations de compte.
- SignalementInterrompre le parcours et prévenir le support connu.
Les vérifications utiles avant de rejoindre la réunion
Commencez par le contexte : attendiez-vous cet échange ? L’organisateur est-il identifiable ? La demande correspond-elle au projet en cours ? Une invitation urgente à une réunion dont personne n’a parlé mérite une vérification. Un nom connu ne suffit pas, car un compte peut aussi être compromis.
Pour vérifier, contactez l’organisateur avec les coordonnées de votre annuaire ou d’un échange antérieur fiable. Ne prenez pas le numéro ajouté dans l’invitation comme référence. Lorsque c’est possible, ouvrez votre outil habituel depuis votre raccourci plutôt que depuis le message. Vérifier la destination d’un lien reste utile, mais une chaîne de redirections ou un service légitime détourné peut rendre cette vérification insuffisante.
| Situation | Réflexe recommandé |
|---|---|
| Réunion attendue, organisateur confirmé | Suivre le parcours habituel de l’organisation. |
| Invitation inattendue avec une urgence | Confirmer la demande par un canal connu. |
| Demande de mot de passe ou de code inhabituelle | Interrompre et solliciter le support. |
| Invitation reçue par plusieurs collègues | Signaler avec les éléments du message pour faciliter la recherche. |
Que faire si vous avez déjà interagi ?
Dites au support ce qui s’est passé : invitation reçue, lien ouvert, informations saisies ou validation effectuée. Ces étapes ne correspondent pas au même niveau d’exposition. Conservez l’heure, l’expéditeur et le message selon la procédure interne. Évitez de diffuser le lien actif à toute l’équipe pour demander un avis.
Si vous avez renseigné un secret ou approuvé une connexion, n’attendez pas d’observer un problème dans la boîte mail. L’équipe habilitée doit décider des mesures de protection du compte et rechercher d’éventuels accès. Un changement de mot de passe, seul, ne prouve pas que toutes les sessions ou méthodes de persistance ont disparu. La recherche peut porter sur les règles de messagerie, les transferts, les applications autorisées et les événements d’authentification.
La suppression de l’événement peut ensuite faire partie du nettoyage. Elle ne remplace pas l’investigation. Ne réouvrez pas le lien pour reproduire l’incident sur votre poste : les équipes disposent de méthodes adaptées pour examiner un message suspect.
Une préparation simple pour l’équipe informatique
Nous recommandons de faire un exercice avec une invitation inoffensive sur des comptes de test. Observez ce qui arrive dans le courriel, dans le calendrier et sur le téléphone. Vérifiez comment le signalement remonte, qui le reçoit et si l’événement reste présent après le traitement du message. Ce test révèle des différences de configuration qu’une checklist générique ne montre pas.
Documentez ensuite le traitement des invitations externes, les moyens de recherche et les capacités de suppression centralisée réellement disponibles. Adaptez les restrictions aux usages métier : bloquer toutes les réunions externes pourrait déplacer les échanges vers des canaux moins maîtrisés. Associez protection de la messagerie, authentification adaptée et surveillance des comptes.
Pour la sensibilisation, retenez une consigne courte : « Une invitation ne prouve pas que la réunion est légitime. Une demande inattendue se vérifie avant de se connecter. » Mesurez la facilité du signalement et la qualité du traitement, pas seulement le nombre de clics dans un exercice.
Questions fréquentes
Accepter une invitation suffit-il toujours à compromettre un compte ? Non. Il faut distinguer l’ajout d’un événement, l’ouverture d’un lien, la saisie d’informations et une éventuelle autorisation. Le scénario décrit ici repose sur une tromperie, pas sur une compromission automatique à chaque acceptation.
Faut-il interdire tous les fichiers ICS ? Ce serait une décision à évaluer avec les métiers et les capacités du système de messagerie. Le format a des usages légitimes ; l’objectif est de contrôler les demandes et de traiter les événements malveillants.
Et si l’invitation vient d’un collègue ? Une origine familière justifie une vérification contextuelle, pas une confiance automatique. Utilisez un canal indépendant en cas de doute.
Sources et références
Sources consultées le 19 octobre 2026. Les schémas et grilles de préparation sont des propositions pédagogiques de Kenawek, à adapter au contexte de l’organisation.
Préparer vos contrôles avec Kenawek
Pour cadrer un audit, améliorer la surveillance ou préparer votre organisation, parlons de votre projet. En cas d’incident urgent, les clients sous contrat utilisent leur procédure dédiée.