L'IA alimente les arnaques aux invitations calendrier
Les arnaques par invitations de calendrier se multiplient, l'intelligence artificielle servant de multiplicateur de menace. Selon une étude de Sublime, les attaques par ce canal ont été multipliées par dix en août par rapport à juillet, tandis qu'un rapport semestriel de Microsoft signale une progression de 400 % des tentatives entre mai et juin. Ces opérations visent principalement à piéger les salariés vers des plateformes de hameçonnage ou à soutirer des identifiants par ingénierie sociale, avec un impact particulier sur les secteurs en relation client. Les agendas numériques constituent des vecteurs privilégiés car ils génèrent un sentiment d'urgence, bénéficient d'une confiance institutionnelle et traitent les liens hypertextes différemment des courriels traditionnels. Cette spécificité technique permet l'exécution de maliciels ou le redirectionnement vers des pages falsifiées sans que l'utilisateur n'ouvre de pièce jointe. L'IA amplifie considérablement le risque en personnalisant les textes, en simulant des visages et des voix par deepfakes pour usurper l'identité de responsables informatiques ou de partenaires, et pourrait à terme permettre à des agents autonomes de valider automatiquement des rendez-vous malveillants. Les tactiques suivent deux axes principaux : l'envoi de liens compromettants imitant des services de cloud ou des portails de connexion, et l'invitation à des visioconférences truquées où un escroc interagit via des synthèses audio-vidéo générées par l'IA. Des cadres techniques et des entrepreneurs rapportent devoir systématiquement vérifier les métadonnées et les adresses web pour détecter les incohérences, certaines arnaques étant jugées presque parfaites sur le plan visuel et contextuel. Lorsque des comptes légitimes sont compromis, les fraudes sont envoyées en masse à des contacts de confiance, entraînant des dommages collatéraux importants sur la réputation personnelle et professionnelle. Face à cette sophistication croissante, les spécialistes estiment que la sensibilisation individuelle atteint ses limites. Matthew Woodyard, dirigeant de la cybersécurité chez Okta, rappelle que la charge de la protection incombe fondamentalement aux organisations gérant les plateformes. Il recommande l'adoption généralisée de clés d'authentification résistantes au phishing, comme les passkeys. Ces méthodes de connexion, associées à un domaine internet précis, garantissent que les identifiants ne peuvent jamais être saisis sur un site parasite. Tant que ces solutions techniques ne deviendront pas la norme par défaut et non une option facultative, les cybercriminels continueront d'exploiter la confiance placée dans les outils de collaboration.
