Fin septembre 2026, le prestataire polonais qui fait tourner une partie du logiciel de facturation VosFactures a été piraté. Comptes, IBAN, clients, fournisseurs et montants de factures ont été copiés. Un mois après le lancement de la facturation électronique en France, l’affaire pose une question simple : savez-vous où tournent vraiment les outils qui traitent vos factures ?
Mis à jour le 12 octobre 2026 : l’AIFE a rétabli ses échanges avec la plateforme agréée de VosFactures, après examen des éléments techniques transmis, selon le message publié sur Chorus Pro et relayé par Next, 5 octobre 2026.
Ce qui s’est passé
Selon le communiqué officiel de Fakturownia, une personne non autorisée a eu accès à ses systèmes du 27 septembre vers 3 h 20 au 28 septembre vers 17 h 45. Elle a copié une grande partie de la base de données, et l’éditeur indique que tous les comptes sont concernés (Fakturownia). VosFactures est la version française de ce service, exploitée par la société FACTUALI, qui a été prévenue le 29 septembre.
FACTUALI affirme que son propre environnement, hébergé dans un cloud qualifié SecNumCloud par l’ANSSI, n’a pas été compromis. Par précaution, l’AIFE (l’agence de l’État qui gère Chorus Pro) a tout de même suspendu ses échanges avec la plateforme le 1er octobre (Clubic).
D’après l’éditeur, ont été copiés en totalité : les données des comptes, les IBAN, les mots de passe sous forme hachée (transformés pour ne pas être lisibles directement), les clés API (qui permettent à d’autres logiciels, comme la comptabilité, de se connecter) et les montants des factures, y compris le reste à payer. Les anciennes factures et une partie des clients et fournisseurs sont touchées en partie. Les cartes de paiement ne sont pas concernées.
Un pirate se faisant appeler « Fingerprint » revendique l’attaque et affirme avoir pris 6 To de factures. Ce chiffre n’a pas été vérifié de façon indépendante (The Record, 1er octobre 2026).
Comment l’attaque a fonctionné
Deux versions existent, et il faut les distinguer.
La version de l’éditeur : une faille dans le module qui transforme les modèles de factures en PDF a permis de lire des fichiers de configuration des serveurs. Ces fichiers contenaient des clés et des identifiants techniques. Avec eux, l’attaquant a pu lancer des commandes sur plusieurs serveurs, puis lire une copie de la base de production.
La version de l’attaquant, confiée au média polonais Zaufana Trzecia Strona et non vérifiée : une injection SQL (une requête piégée envoyée à la base de données) pour récupérer la clé principale de l’application, puis la fabrication d’un faux cookie de session (le petit fichier qui prouve à un site que vous êtes connecté) pour prendre la main sur le serveur.
Dans les deux cas, le point clé est le même : un secret technique mal protégé a transformé une faille web en accès à toute la base.
La réaction de Fakturownia, publiée heure par heure, montre un bon réflexe : au lieu de se contenter de bloquer l’adresse de l’attaquant, l’éditeur a changé toutes ses clés, remonté des serveurs neufs le soir même et remplacé les clés API de ses clients. Il a aussi prévenu l’autorité polonaise de protection des données, le CERT polonais et la police.
Ce qu’on ne sait pas encore
Le point d’entrée exact n’est pas tranché entre les deux versions. On ne sait pas comment l’intrusion a été repérée, ni combien d’entreprises françaises sont réellement touchées.
Ce que ça change pour une PME
Le risque principal n’est pas technique : c’est la fraude au faux RIB. Les fraudeurs connaissent désormais les montants et savent quelles factures ne sont pas encore payées. Un faux e-mail « de votre fournisseur » annonçant un nouvel IBAN sera très crédible.
- Faites confirmer par téléphone, à un numéro déjà connu, toute demande de changement de coordonnées bancaires. Jamais au numéro indiqué dans le message.
- Si vous utilisez VosFactures : générez de nouvelles clés API pour vos intégrations (les anciennes ont été désactivées le 1er octobre), changez votre mot de passe partout où il était réutilisé et vérifiez l’IBAN affiché sur vos propres factures.
- Pensez au RGPD : vous êtes responsable des données de vos clients et fournisseurs. Évaluez avec votre conseil s’il faut notifier la CNIL (délai de 72 heures) et prévenir les personnes concernées.
- Avant de choisir un outil de facturation, demandez la liste des sous-traitants qui traitent vos données et ce que prévoit le contrat en cas d’incident. Une qualification de sécurité couvre un périmètre précis, pas forcément celui des sous-traitants.
Dossier : Fournisseurs et sous-traitants
Cet article prolonge notre bulletin de veille du 2 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.