Facturation électronique : fuite d’informations chez VosFactures à cause d’un prestataire
Alors que l’obligation de facturation électronique est entrée en vigueur le 1ᵉʳ septembre, une première plateforme agréée annonce une fuite de données. Elle n’a pas été directement attaquée, la brèche venant d’un prestataire polonais.
Le 27 septembre 2026, la plateforme française VosFactures, agréée par l’État pour la facturation électronique, a subi une cyberattaque. Cette intrusion a été rendue possible par le piratage de son prestataire polonais, Fakturownia, spécialisé dans la génération de fichiers PDF pour les factures. L’attaque a été détectée le 27 septembre et neutralisée le lendemain. VosFactures, qui revendique 500 000 clients, a été informée le 29 septembre. Aucune faille n’a été identifiée directement sur les serveurs de VosFactures, mais le pirate a exploité une vulnérabilité dans un outil de génération de PDF utilisé par son prestataire. Cette faille a permis d’accéder à des fichiers de configuration contenant des clés et identifiants, déclenchant ensuite des commandes malveillantes sur plusieurs serveurs applicatifs et donnant accès à une copie de la base de données de production.
Selon VosFactures, les données compromises concernent les comptes utilisateurs, les clients et fournisseurs des utilisateurs, ainsi qu’une partie des documents générés via le service. Les risques encourus incluent des tentatives d’hameçonnage (phishing), d’usurpation d’identité, de fraude aux changements de coordonnées bancaires ou aux faux fournisseurs, ou encore des accès non autorisés à d’autres services en cas de réutilisation des mêmes mots de passe. VosFactures rappelle que son infrastructure est certifiée SecNumCloud par l’ANSSI, une qualification française garantissant un niveau élevé de sécurité pour les données hébergées. Aucune compromission directe de cette infrastructure n’a été constatée. Cependant, l’étendue exacte des données volées reste floue, notamment concernant les mots de passe hachés, les numéros IBAN, les détails des factures ou les historiques de paiements.
Dès le 1ᵉʳ octobre 2026, VosFactures a envoyé un e-mail à ses clients pour les alerter et leur recommander des mesures de prudence, comme la réinitialisation des mots de passe et la vérification des connexions bancaires. L’entreprise a également invalidé tous les codes API utilisés pour les intégrations avec des logiciels de comptabilité, obligeant les utilisateurs à générer de nouveaux codes. De son côté, le prestataire polonais Fakturownia a corrigé la faille, contacté ses clients et informé le Bureau de protection des données personnelles polonais ainsi que le CERT polonais. Un pirate nommé Fingerprint a revendiqué l’attaque, affirmant disposer d’une base de données de 6 To, mais cette affirmation n’a pas été vérifiée.
L’Agence pour l’informatique financière de l’État (*AIFE*), qui gère le portail *Chorus Pro* pour la réception des factures des administrations publiques, a suspendu temporairement ses échanges avec VosFactures dès le 1ᵉʳ octobre 2026. Cette suspension était indiquée par un bandeau rouge sur le portail. Après examen des mesures techniques prises par VosFactures, l’AIFE a rétabli les échanges le week-end suivant, tout en maintenant une surveillance renforcée. Cette situation survient dans un contexte déjà tendu autour de la généralisation de la facturation électronique en France, perçue comme une contrainte par de nombreuses petites entreprises. L’obligation légale d’utiliser une plateforme agréée, comme VosFactures, augmente la pression sur la sécurité des données, car toutes les entreprises doivent désormais passer par l’un de ces services certifiés.
