Arnaques Gmail : Google alerte sur 3 menaces (juin 2026)

Google vient de chiffrer les menaces qui atterrissent dans votre boîte. Le 8 juin 2026, l’entreprise a publié son avis trimestriel sur les fraudes et arnaques, et trois des techniques qu’il épingle visent directement les utilisateurs d’e-mail — dont une méthode d’hameçonnage qui passe outre l’authentification à deux facteurs. Le décor est saisissant : Google reprend l’estimation du NASDAQ Global Financial Crime Report de 580 milliards de dollars de pertes mondiales liées à la fraude en 2025, avec environ un adulte sur cinq ciblé. Voici ce qui frappe les comptes Gmail, et les gestes concrets qui gardent le vôtre hors du compte.

Contre quoi l’avis de Google met en garde

L’avis de Google de juin 2026 nomme trois attaques portées par l’e-mail : l’hameçonnage adversaire-au-milieu (AITM) qui vole votre session de connexion active, l’hameçonnage par invitation d’agenda qui injecte de faux avis de renouvellement dans votre calendrier, et les leurres ClickFix qui vous font exécuter vous-même la commande d’un attaquant. Une quatrième constante — l’usurpation de la police et des organismes publics via des adresses e-mail sosies — enveloppe la couche d’ingénierie sociale autour des trois.

Le tournant majeur, c’est l’AITM. Plutôt que de saisir votre mot de passe, ces kits — Google cite Tycoon 2FA et Lighthouse — reproduisent une vraie page de connexion et capturent le cookie de session que le service délivre après authentification, contournant complètement l’authentification à deux facteurs. C’est une nette montée en gamme par rapport à l’hameçonnage Gmail qui détournait le courrier signé de Google le mois dernier : votre code 2FA n’est plus le rempart qu’il était. La deuxième technique dépose de faux avis de « renouvellement » ou de « paiement échoué » directement dans des invitations Google Agenda qui remplissent automatiquement votre calendrier, et la troisième — ClickFix — sert une fausse page de mise à jour vous demandant de coller une commande dans votre terminal, souvent dissimulée dans des documents cloud et des sites Google Sites au moyen de couches « invisibles » qui déjouent les filtres.

Ce que cela change pour votre boîte

Le fil commun, c’est que ces attaques vous visent vous, pas une faille logicielle — elles fonctionnent en vous faisant approuver, coller ou cliquer quelque chose. Cela les rend efficaces contre les utilisateurs qui se croient justement protégés parce qu’ils ont activé la 2FA. Pour quiconque utilise un compte Gmail ou Workspace en 2026, l’avis invite à se méfier du canal, pas seulement de l’expéditeur.

L’argent rend les enjeux limpides. Au-delà des 580 milliards de dollars, Google reprend le bilan du FBI : plus de 11 milliards de dollars perdus par les Américains dans des arnaques liées aux cryptomonnaies en 2025 — le butin que visent en définitive les campagnes d’usurpation policière et d’AITM. Et le vecteur de l’agenda rappelle que la boîte de réception n’est plus la seule porte d’entrée : un attaquant capable d’écrire dans votre calendrier obtient un point d’appui d’apparence fiable sans jamais franchir votre filtre antispam, le même présupposé « faire confiance à la source » qu’exploitait sous un autre angle la faille d’usurpation Exchange « ghost sender » de juin. À mesure que des assistants IA comme l’agent Gemini Spark de Google commencent à agir automatiquement sur le contenu de la boîte et de l’agenda, une invitation piégée dispose de plus de moyens de nuire qu’il y a un an.

Comment protéger votre Gmail dès maintenant

La défense maison de Google s’appelle Device Bound Session Credentials (DBSC), désormais disponible dans Chrome sous Windows et activée par défaut — elle lie votre session à la puce matérielle de votre appareil, si bien qu’un cookie volé ne peut pas être rejoué ailleurs. Gardez Chrome à jour et elle vous protège automatiquement ; le reste, c’est une question d’habitude.

DBSC, c’est la partie à laquelle vous n’avez pas à penser. Elle lie votre session de navigation à une clé privée dans le TPM de l’appareil, de sorte qu’un attaquant qui dérobe votre cookie de session ne peut pas s’en servir sur sa propre machine. Google a commencé son déploiement dans Chrome sous Windows à partir du 25 mai 2026, actif par défaut pour les comptes personnels et Workspace, sans action de l’administrateur et sans interrupteur d’arrêt ; la prise en charge de macOS via la Secure Enclave suit. J’ai vérifié ma propre configuration Windows-et-Chrome en écrivant ces lignes — il n’y a rien à activer, et c’est tout l’intérêt.

Les habitudes, en revanche, c’est la moitié qui vous revient. À faire : ouvrez un service directement dans un nouvel onglet plutôt que de cliquer un lien dans un e-mail ou une entrée d’agenda inattendue ; traitez une invitation surprise comme un courriel surprise. À ne jamais faire : scanner un QR code venu d’un message non sollicité avec votre téléphone personnel, ou coller dans votre terminal une commande issue d’une « réparation » en ligne — ce seul geste constitue toute l’attaque ClickFix. Et tout message qui se réclame de la police ou d’un ministère en vous pressant de payer ou de livrer des identifiants est, selon Google, une arnaque par définition — les vraies administrations ne procèdent pas ainsi.

Alexis Dollé

Fondateur & Éditeur

Alexis Dollé, expert e-mail depuis plus de 10 ans. Fondateur d’Email Tools. Je teste moi-même chaque client et utilitaire de messagerie, puis j’en parle comme je l’expliquerais à un ami — sans blabla marketing, sans classement sponsorisé, chaque affirmation sourcée.

Questions fréquentes

Contre quoi l’avis de Google de juin 2026 met-il en garde ? — trois attaques par e-mail et l’usurpation d’autorité

Dans son avis publié le 8 juin 2026, Google pointe trois techniques visant les utilisateurs d’e-mail : l’hameçonnage adversaire-au-milieu (AITM) qui vole votre session de connexion plutôt que votre mot de passe, l’hameçonnage par invitation d’agenda qui dépose de faux avis de renouvellement ou de paiement directement dans votre calendrier, et les leurres ClickFix qui vous poussent à coller la commande d’un attaquant sur votre propre appareil. Il alerte aussi sur les escrocs qui usurpent la police ou des organismes publics via des adresses e-mail sosies.

Comment l’hameçonnage AITM contourne-t-il la 2FA ? — il vole le cookie de session, pas le code

Une page adversaire-au-milieu reproduit un écran de connexion réel et relaie en temps réel tout ce que vous tapez vers le service authentique. Vous passez la vérification à deux facteurs normalement, mais la fausse page capture le cookie de session que le service renvoie. Avec ce cookie, l’attaquant est traité comme déjà connecté sur sa propre machine — votre mot de passe et votre code 2FA n’ont jamais à être réutilisés. Google cite des kits d’hameçonnage comme Tycoon 2FA et Lighthouse qui automatisent l’opération.

Qu’est-ce que l’hameçonnage par invitation d’agenda ? — de faux avis qui remplissent automatiquement votre Google Agenda

Les attaquants envoient une invitation Google Agenda qui remplit automatiquement votre calendrier d’un faux avis — un « renouvellement d’abonnement », une alerte « paiement échoué » ou une réunion — puis renvoie vers un formulaire d’hameçonnage. Comme l’entrée apparaît dans l’Agenda et non dans votre boîte, elle peut échapper à la vigilance que vous accorderiez à un courriel normal. Traitez les entrées d’agenda inattendues avec la même méfiance qu’un message inattendu.

Qu’est-ce que ClickFix et pourquoi est-ce dangereux ? — il vous fait exécuter le logiciel malveillant vous-même

ClickFix est un leurre qui affiche une fausse page d’erreur ou de mise à jour vous demandant de « réparer » en copiant une commande et en la collant dans le terminal ou la zone Exécuter de votre ordinateur. Cette commande installe un logiciel malveillant. Google note que ces pages sont souvent hébergées dans des documents cloud et des sites Google Sites, avec des couches « invisibles » pour déjouer les filtres. La règle est simple : ne collez jamais sur votre appareil une commande que vous n’avez pas écrite.

Qu’est-ce que DBSC et est-ce actif pour moi ? — oui, par défaut dans Chrome sous Windows

DBSC est la défense de Google contre le vol de cookies de session. Il lie cryptographiquement votre session de navigation à une clé privée conservée dans la puce de sécurité matérielle de votre appareil (le TPM sous Windows), si bien qu’un cookie copié sur une autre machine ne fonctionne tout simplement pas. C’est disponible dans Chrome sous Windows, déployé à partir du 25 mai 2026, et activé par défaut pour les comptes Google personnels comme pour Workspace — il n’y a pas d’interrupteur à activer. La prise en charge de macOS via la Secure Enclave est la prochaine étape.

Quels gestes simples pour protéger mon Gmail aujourd’hui ? — aller direct, ne rien coller, se méfier des surprises

Allez directement sur le site d’un service plutôt que de cliquer les liens d’e-mails ou d’invitations d’agenda inattendus ; ne scannez jamais un QR code venu d’un e-mail surprise avec votre téléphone personnel ; ne copiez-collez jamais dans votre terminal une commande issue d’une « réparation » en ligne ; et considérez comme suspect tout message non sollicité prétendant émaner de la police ou d’un ministère. Gardez Chrome à jour pour que DBSC protège votre session automatiquement.

Sources