Kaspersky a mis au jour un nouveau stratagème de phishing qui détourne les notifications légitimes de Google Tasks pour inciter les employés à révéler leurs identifiants de connexion professionnels. En utilisant le domaine de confiance @google.com et le système de notification officiel de Google, les attaquants contournent les filtres de sécurité traditionnels et exploitent la confiance des utilisateurs envers des services familiers.
Tribune – Dans cette campagne, les victimes reçoivent une notification authentique de Google Tasks avec pour objet : « Vous avez une nouvelle tâche ». Le message crée l’illusion que l’entreprise du destinataire a adopté l’outil de gestion de tâches de Google, les poussant à agir rapidement. La notification inclut souvent des éléments d’urgence, comme un indicateur de priorité haute et une échéance courte, pour provoquer une réaction immédiate.
En cliquant sur le lien intégré, les utilisateurs sont redirigés vers un formulaire frauduleux déguisé en page de « vérification de l’employé ». Il leur est alors demandé de saisir leurs identifiants d’entreprise sous prétexte de confirmer leur statut. Ces identifiants volés peuvent ensuite être utilisés pour accéder sans autorisation aux systèmes de l’entreprise, voler des données ou lancer d’autres attaques.
« Le vaste écosystème de services de Google est exploité par des escrocs. Ce stratagème avec Google Tasks fait partie d’une tendance plus large, observée auparavant et qui se poursuit en 2026, où les cybercriminels détournent des plateformes légitimes pour diffuser des arnaques. Les notifications provenant de domaines officiels échappent naturellement à de nombreux filtres anti-spam, tandis que l’aspect « ingénierie sociale », faisant croire à un processus interne à l’entreprise, fait baisser la garde de la victime », commente Roman Dedenok, expert Anti-Spam chez Kaspersky.
Pour contrer ce type d’attaques, Kaspersky recommande de :
-
Se méfier des invitations non sollicitées, même si elles semblent provenir de sources de confiance.
-
Inspecter soigneusement les URL avant de cliquer.
-
Ne jamais appeler les numéros de téléphone indiqués dans des emails suspects, dans le cas où il faut contacter le support, le numéro se trouve sur le site officiel du service.
-
Signaler les emails suspects au fournisseur de la plateforme et utiliser l’authentification multi-facteurs (MFA) pour tous les comptes.
