Arnaques en ligne : comment les pirates détournent Google Drive pour vous piéger

Les pirates ne se contentent plus d’imiter Google Drive pour vous piéger. Ils utilisent directement les serveurs de Google pour déployer leurs arnaques. Une étude de KnowBe4 révèle que près d’un e-mail malveillant sur dix passe d’ailleurs par des serveurs légitimes, dont ceux du géant de Mountain View. L’astuce contourne la plupart des filtres de sécurité mis en place pour vous protéger.

Selon le laboratoire de recherche de KnowBe4, les pirates n’imitent plus simplement DocuSign, Adobe ou Google Drive pour piéger leurs victimes. Ils se servent directement de leurs serveurs pour arriver à leurs fins en passant sous le radar. L’étude parle d’une technique intitulée « Living Off Trusted Services » (LOTS), qu’on pourrait traduire par « vivre aux crochets des services de confiance ».

« Les cybercriminels ne s’introduisent pas dans la sécurité des e-mails. Ils la contournent, en utilisant exactement les plateformes auxquelles vos équipes ont appris à faire confiance », résument les chercheurs de KnowBe4 dans le rapport partagé avec 01net.

À lire aussi : Plus de la moitié des cyberattaques « commencent dans votre boîte de réception »

Près d’un mail malveillant sur dix

Dans le cadre de leurs investigations, les chercheurs ont passé au crible 544 000 e-mails malveillants entre juin et août 2026. Environ 53 000 des mails, soit près d’un message sur dix, s’appuient sur des services légitimes et authentiques. Ce n’est pas vraiment une surprise pour les chercheurs. Dans un rapport paru en avril 2026, ils estimaient déjà que 22 % des attaques de phishing passaient désormais par une plateforme légitime.

Dans deux tiers des arnaques épinglées, les mails s’appuient sur DocuSign et QuickBooks. Adobe et Dropbox font également partie des services détournés. Le rapport précise que « mettre en place cette attaque ne coûte presque rien ». En effet, les pirates créent un compte gratuit sur une plateforme connue, en quelques minutes seulement. Ils envoient ensuite une vraie notification par le biais du compte, qui contient un lien qui renvoie vers leur propre site. Comme c’est bien la plateforme qui expédie le message, celui-ci passe sans encombre les contrôles d’authenticité des boîtes mails.

« L’attaquant ne paie rien, crée un compte en quelques minutes et obtient une voie rapide vers la boîte de réception », résume KnowBe4.

Google, un complice involontaire

Sur Google Drive, les pirates exploitent même les notifications de commentaires pour arriver à leurs fins. Ils partagent un document avec la victime, puis la mentionnent dans un commentaire qui contient le lien frauduleux qu’ils veulent partager. Google envoie alors lui-même un mail de notification à la cible. De facto, le contenu malveillant est envoyé par Google, depuis une adresse Google. Le géant américain devient ainsi le complice involontaire des pirates.

Une fois que la victime a cliqué sur le lien piégé, l’attaque peut prendre trois formes différentes. La première, la plus classique, consiste à voler les identifiants de la victime par le biais d’une fausse page de connexion. C’est simple, mais efficace.

La deuxième méthode repose sur l’hameçonnage par code d’appareil. Elle permet de contourner la double authentification sans déployer énormément d’efforts. Dans ce cas de figure, la victime est invitée à saisir un code de connexion sur le véritable portail de la plateforme visée. La cible remplit elle-même sa double authentification, et fournit aux attaquants les informations nécessaires pour connecter leur appareil à son compte. « Ce qu’elle remet à l’attaquant n’est pas un mot de passe. C’est un jeton de session actif, déjà authentifié », explique KnowBe4. Aux yeux des serveurs de l’entreprise, la démarche est parfaitement légitime et indique simplement qu’un utilisateur a connecté un nouvel appareil à son compte. 

Enfin, les pirates peuvent pousser la victime à installer un outil d’administration à distance légitime, comme ScreenConnect ou AnyDesk, déguisé en un faux « lecteur de document ». En utilisant l’outil, il prend alors aisément le contrôle de l’ordinateur. Là encore, ces logiciels sont signés et utilisés par des services informatiques, donc « les antivirus et les outils de détection les signalent rarement ». Pour rappel, la même ruse avait déjà été utilisée par des cyberattaques reposant sur de faux mails de LastPass, 1Password et Bitwarden, ou encore de faux sites de logiciels Windows.

À lire aussi : Une double authentification inutile – l’outil de piratage Kali365 fait des ravages sur les comptes Microsoft

« Le signe d’une attaque bien construite »

Le rapport de KnowBe4 rappelle qu’« un expéditeur légitime ne signifie pas un contenu légitime. » De même, une notification en provenance d’une plateforme authentique n’est pas un gage d’authenticité. C’est « de plus en plus, c’est le signe d’une attaque bien construite », prévient KnowBe4.

Comme toujours, on vous recommande de vous méfier des messages qui évoquent une urgence, comme une signature à effectuer rapidement ou un échec de paiement. Avant de cliquer, survolez le bouton avec votre souris et vérifiez que le nom de domaine correspond bien à la plateforme. En cas de demande inattendue, ne cliquez pas et connectez-vous directement à la plateforme. Encore mieux, contactez l’expéditeur par un autre canal.

« Si le document ou le paiement est réel, il vous attend sur la plateforme elle-même », rappellent les chercheurs.