Il y a quelques jours, j’ai découvert sur l’un de mes calendriers partagés (Google Calendar et Calendrier iOS) de drôles de rendez-vous inscrits sans que j’en sois l’auteur, avec des messages bizarres qui sentaient le fake à plein nez, et bien sûr des liens qui renvoyaient sur des sites assez peu recommandables aux personnes sensibles…
Soupçonnant une tentative de spam ou d’hameçonnage, je me suis un peu documenté, et il ne m’a pas fallu très longtemps pour trouver l’origine de ces entourloupes.
Le spam à l’agenda, comment ça marche ? Un spammeur vous envoie une invitation à une “réunion” à l’aide des outils collaboratifs intégrés dans Google Calendar, iCloud ou d’autres outils de planification en ligne. Par défaut, ces services ajoutent l’événement à votre agenda, que vous l’ayez accepté ou non – ce qui signifie que l’événement du spammeur proclamant “des célibataires dans votre région” ou vous invitant à une réunion importante est désormais inscrit dans votre agenda, sans intervention de votre part. En fait, il y a de fortes chances que vous ne voyiez pas l’invitation du tout : Gmail, par exemple, peut automatiquement placer l’invitation dans votre dossier spam, mais Google Agenda traite toujours l’invitation, ce qui peut conduire à une mystérieuse notification sur votre téléphone, par exemple.
Il n’y a pas de filtre anti-spam pour les agendas
Contrairement au spam par e-mail, le spam d’invitation semble affecter certaines personnes et pas d’autres, sans que l’on sache exactement pourquoi. Mais il y a une motivation claire derrière tout ça : la grande majorité des spams traditionnels finissent par être bloqués par des filtres – celui de Gmail est par exemple remarquablement efficace, tant dans le blocage que dans le faible taux de faux positifs – et les spécialistes du pourriel essaient donc de trouver d’autres moyens et d’autres canaux pour nous cibler et tenter de nous refourguer leur daube. Or, notre agenda n’a pas les filtres anti-spam dont bénéficie notre service de courrier électronique. Bingo, les spammeurs ont trouvé un moyen d’exploiter cette “faille”.
Selon Graham Cluley, un spécialiste de la sécurité informatique, questionné par Medium, cela se produit depuis des années, mais les médias s’y intéressent de plus en plus ces derniers temps. Personnellement, cela ne m’est arrivé que récemment, et je n’avais jamais vu cela auparavant. Kaspersky Labs, la société russe spécialisée dans la cybersécurité et les antivirus, a publié un communiqué de presse sur le sujet, détaillant une série de ces invitations de calendrier spam récentes. Une pratique dont on retrouverait la trace à partir de 2016 selon nos confrères de ZDNet.
Le type de spam arrivant dans les agendas partagés ne sont eux, en revanche, pas très nouveaux : des promesses de revenus passifs aux messages en russe impliquant de l’argent non réclamé en passant, bien sûr, par les sollicitations sexuelles habituelles. ZDNet note quelques autres utilisations néfastes, comme un spammeur qui a ciblé les employés d’une entreprise spécifique et a mystifié l’invitation pour qu’elle apparaisse comme si elle venait du CEO.
Comment éviter le spam ?
Heureusement, il existe un moyen facile d’empêcher ce spam d’apparaître dans votre agenda. Ouvrez Google Agenda sur le Web et allez dans Paramètres > Général > Paramètres des événements. Sous “Ajouter automatiquement des invitations”, choisissez “Non, n’afficher que les invitations auxquelles j’ai répondu” dans le menu déroulant.
Vous pouvez également décocher l’option “Ajouter automatiquement des événements de Gmail à mon agenda” sous le paramètre “Événements de Gmail”, qui analyse les dates, heures et lieux de certains e-mails et crée des événements de l’agenda à partir de ceux-ci. Ces deux paramètres sont également équivalents dans de nombreux autres services de calendrier, dont iCloud et Outlook.
Mais ce n’est pas seulement votre calendrier. Kaspersky explique que les spammeurs peuvent utiliser ces mêmes tactiques pour vous bombarder dans Google Photos, Google Drive et d’autres services de cloud similaires. Tout comme l’arnaque du calendrier, les notifications apparaîtront également dans votre courriel, mais ces services aident à rendre leurs arnaques plus légitimes – après tout, ce lien suspect mène à Google Drive, et non à un site Web louche.
“Nous sommes profondément engagés à protéger nos utilisateurs contre le spam dans l’ensemble de nos services”, a déclaré un porte-parole de Google dans une déclaration par e-mail. “Dans Gmail, par exemple, nos modèles d’apprentissage machine peuvent détecter les spams et les messages de phishing avec une précision de 99,9%. Et dans Calendrier, les utilisateurs ont la possibilité de signaler les spams et d’empêcher l’ajout automatique d’événements à leur grille de calendrier. Bien que nous ayons fait de grands progrès, il arrive parfois que les pourriels passent, alors nous investissons dans de nouvelles façons pour les utilisateurs d’identifier et de bloquer les polluposteurs et nous nous attendons à ce que ces changements se produisent au cours des prochains mois”.
Google propose d’ailleurs une page en prévention, permettant de signaler les problèmes que l’on rencontre avec son calendrier en ligne. Si vous repérez une invitation suspecte dans le vôtre, c’est peut-être le moment de régler vos paramètres et d’en informer Google.
📍 Pour ne manquer aucune actualité de Presse-citron, suivez-nous sur Google Actualités et WhatsApp.
Merci pour cette info très utile et bien documentée !
Il faut juste ajouter que dans le calendrier Gmail, on peut cliquer sur l’évènement et le signaler comme spam. Il vaut mieux le faire avant de modifier le paramétrage…