Facturation électronique
Fuite de données chez VosFactures, ce qui s'est passé et comment se protéger
Un mois après l’entrée en vigueur de la facturation électronique, une première plateforme agréée (PA) est touchée par une fuite de données. VosFactures, qui revendique 500 000 utilisateurs, n’a pas été attaquée directement : la brèche vient de son prestataire technique polonais, Fakturownia. L’UPSME fait le point sur les faits connus à ce jour et sur les précautions utiles, que vous soyez client de VosFactures ou d’une autre plateforme.
Ce qui s'est passé ...
L’intrusion a eu lieu chez Fakturownia, éditeur polonais qui fournit des services techniques à FACTUALI SAS, l’opérateur de VosFactures.
- 27-28 septembre 2026 : l’intrusion est détectée, puis l’accès du pirate est coupé (selon les sources, le constat est daté du 27 ou du 28).
- 29 septembre : VosFactures est avertie par son prestataire et commence à informer ses utilisateurs.
- Nuit du 30 septembre au 1er octobre : l’Agence pour l’informatique financière de l’État (AIFE) est informée d’un possible vol de données et suspend ses échanges avec la plateforme.
- 1er octobre : Fakturownia communique publiquement sur l’incident ; VosFactures invalide les clés API de ses clients.
- Week-end des 3-4 octobre : l’AIFE rétablit les échanges, qui restent sous surveillance.
Selon le courrier adressé aux utilisateurs, le pirate a exploité une faille dans l’outil qui génère les factures PDF à partir de modèles. Il a ainsi récupéré des identifiants et des clés techniques, puis accédé à une copie de la base de données de production du prestataire.
VosFactures indique que sa propre infrastructure, qualifiée SecNumCloud par l’ANSSI, ne présente à ce stade aucun signe de compromission directe. La presse polonaise rapporte qu’un pirate se présentant sous le nom de « Fingerprint » revendique l’attaque et dit détenir 6 To de données ; ce chiffre n’a pas été vérifié.
Quelles données sont concernées ?
Chez VosFactures, d’après le message envoyé aux utilisateurs, ont pu être consultés :
- des données relatives aux comptes VosFactures ;
- des informations sur les clients et fournisseurs des utilisateurs ;
- une partie des documents générés avec le service.
Les numéros complets de cartes bancaires ne seraient pas concernés.
Chez le prestataire Fakturownia, le périmètre déclaré est plus large : mots de passe chiffrés (hachés), IBAN, détail des factures et historiques de paiement. À ce jour, VosFactures n’a pas précisé publiquement dans quelle mesure ces catégories touchent ses propres utilisateurs français.
Les conséquences concrètes pour les micro-entrepreneurs
Une coupure temporaire avec l’administration. Du 1er octobre au week-end suivant, l’AIFE a suspendu ses échanges avec VosFactures. Un bandeau l’annonçait sur le portail Chorus Pro. Après examen des éléments techniques fournis par la plateforme, les échanges ont été rétablis, sous surveillance.
Des connexions logicielles interrompues. Toutes les clés API délivrées jusque-là ont été invalidées le 1er octobre. Les utilisateurs qui reliaient VosFactures à un autre outil, un logiciel comptable par exemple, doivent générer de nouvelles clés et mettre à jour leurs connexions.
Des risques de fraude signalés par la plateforme. VosFactures met en garde contre :
- les tentatives d’hameçonnage par e-mail ou SMS ;
- les faux messages se présentant comme VosFactures ;
- la fraude au changement de coordonnées bancaires et au faux fournisseur ;
- l’usurpation d’identité ;
- l’accès à d’autres services si le même mot de passe y est utilisé.
Côté Pologne, Fakturownia indique avoir corrigé la faille et prévenu l’autorité polonaise de protection des données ainsi que le CERT polonais.
Les bons réflexes pour les micro-entrepreneurs
Ces précautions valent pour tous, quelle que soit votre plateforme.
Si vous utilisez VosFactures :
- Lisez les messages envoyés par la plateforme et vérifiez qu’ils proviennent bien de son adresse officielle.
- Changez votre mot de passe, ainsi que sur tout autre service où vous utilisez le même.
- Si vous utilisez l’API, générez de nouvelles clés et mettez à jour vos outils connectés.
- Prévenez vos clients et fournisseurs habituels qu’ils pourraient recevoir de faux messages en votre nom.
Pour tous :
- Ne modifiez jamais un IBAN fournisseur sur la seule foi d’un e-mail : confirmez par téléphone, à un numéro déjà connu.
- Méfiez-vous des messages urgents qui réclament un paiement, un code ou une connexion.
- Activez la double authentification sur votre plateforme si elle la propose.
- Utilisez un mot de passe différent pour chaque service.
En cas de doute sur un message, contactez directement votre plateforme par ses canaux habituels, sans cliquer sur les liens reçus.
En conclusion
La mise en place de la facturation électronique a suscité des réserves chez une partie des micro-entrepreneurs. Plusieurs inquiétudes revenaient régulièrement : la concentration de données sensibles chez quelques opérateurs, la sécurité de ces données, le coût éventuel des plateformes et une charge administrative jugée disproportionnée pour les plus petites structures. Certains ont même annoncé leur refus d’entrer dans le dispositif.
L’incident VosFactures apporte un cas concret au débat sur la sécurité. Il montre qu’une fuite peut survenir non pas chez la plateforme elle-même, mais chez l’un de ses prestataires, et que ses effets touchent directement les utilisateurs : coupure temporaire avec l’administration, connexions à reconfigurer, risques de fraude. Il montre aussi que des mécanismes de contrôle existent, puisque l’AIFE a suspendu les échanges puis les a rétablis après examen.
Sur le plan réglementaire, le cadre reste inchangé : depuis le 1er septembre 2026, toutes les entreprises, micro-entreprises comprises, doivent être en mesure de recevoir des factures électroniques via une plateforme agréée, et l’obligation d’émission s’appliquera aux micro-entreprises à partir du 1er septembre 2027. Ne pas s’y conformer expose aux sanctions prévues par la loi.
Pour les micro-entrepreneurs, la question pratique devient donc celle du choix de la plateforme. Il peut être utile de s’informer sur le lieu d’hébergement des données, le recours à des sous-traitants, les certifications de sécurité et la possibilité d’activer la double authentification. L’UPSME continuera de suivre ce dossier et d’informer ses adhérents au fil des évolutions.