VosFactures (Factuali) : accès non autorisé aux données de comptes via son sous-traitant polonais Fakturownia

Le 29 septembre 2026, Fakturownia, société polonaise de facturation en ligne, a rendu public un accès non autorisé à ses serveurs, survenu du 27 septembre vers 3 h 20 au 28 septembre vers 17 h 45 et détecté le 28. Fakturownia fournit les services techniques de VosFactures.fr, logiciel édité par la société niçoise Factuali et présenté par la presse comme une plateforme agréée de facturation électronique. Factuali, informée le 29 septembre, a averti ses clients qu’une personne non autorisée avait pu accéder à certaines données de leurs comptes, tout en affirmant qu’aucun élément disponible ne montre une compromission directe de son propre environnement, qualifié SecNumCloud. Selon sa version, l’attaquant a exploité une faille du générateur de PDF à partir de modèles de factures, atteint des fichiers de configuration contenant des clés applicatives, exécuté des commandes sur plusieurs serveurs et lu une réplique de la base de production. Un acteur se faisant appeler « Fingerprint » a revendiqué l’attaque auprès d’un média polonais.

Le point délicat tient au contexte : la presse spécialisée y voit la première fuite confirmée touchant une plateforme agréée depuis l’entrée en vigueur, le 1er septembre 2026, de l’obligation de réception des factures électroniques. L’intrusion a eu lieu chez le prestataire polonais et non chez l’éditeur français, et le périmètre français (comptes, clients, fournisseurs, documents) n’est pas publié. Les chiffres qui circulent ne forment donc pas un bilan français : les 2 250 comptes de Fakturownia relèvent d’un périmètre polonais et international, les 6 To revendiqués par l’attaquant ne sont pas vérifiés et les 500 000 utilisateurs de VosFactures décrivent sa base commerciale. Le premier communiqué de Fakturownia évoquait des factures antérieures à 2023, formulation remplacée le 1er octobre par des bornes de dates plus fines et propres à son périmètre, qu’il ne faut pas reprendre comme un fait établi pour les comptes français.

Les données en jeu dépassent le cercle des entreprises clientes. Factuali cite des données de comptes, des informations sur les clients et fournisseurs enregistrés par les utilisateurs et une partie des documents générés, et un courriel reproduit par eWatchers ajoute que l’accès a pu concerner certaines coordonnées bancaires et informations de paiement, les empreintes des mots de passe et des jetons d’API, hors données complètes de cartes bancaires. Pour son propre périmètre, sans confirmation pour les comptes français, Fakturownia détaille des IBAN, des fiches de contreparties avec numéro de compte (ajoutées avant le 16 octobre 2024) et le contenu intégral des factures émises avant le 22 mars 2021. Les clients et fournisseurs figurant sur ces documents n’ont aucune relation avec Factuali et rien n’indique qu’ils seront prévenus individuellement, alors que leurs coordonnées, montants et échéances, rapprochés d’un IBAN, nourrissent une fraude au faux RIB ou au faux fournisseur : un message crédible, reprenant une vraie facture, demande de régler l’échéance suivante sur un nouveau compte.

Factuali a mis en garde ses clients contre l’hameçonnage et la fraude aux coordonnées bancaires, puis a invalidé le 1er octobre tous leurs codes d’API, à régénérer. Le même jour, l’AIFE, alertée d’un « potentiel vol de données » dans un environnement technique utilisé par VosFactures, a suspendu à titre provisoire les échanges avec la plateforme, dont ceux avec Chorus Pro, en précisant le 2 octobre qu’aucune donnée de facturation n’avait été transmise à l’administration et qu’aucune entreprise ne serait sanctionnée du fait de la suspension. D’après Next et FranceTransactions, les échanges ont été rétablis au cours du week-end suivant, sous surveillance. Dans les sources consultées au 8 octobre, aucune déclaration de la DGFiP ni de la CNIL n’est mentionnée, aucun retrait d’agrément n’est signalé, et Fakturownia indique que les données n’étaient pas publiées au 1er octobre.

Les utilisateurs de VosFactures ont intérêt à régénérer leurs codes d’API, à changer leur mot de passe (et celui de tout service où il était réutilisé), à activer la double authentification si elle est proposée et à contrôler les mandats et accès accordés à la plateforme, vers leur comptabilité, leur banque ou leur site marchand. Toutes les entreprises, y compris celles qui ne l’utilisent pas mais comptent parmi leurs partenaires des utilisateurs de la plateforme, devraient vérifier par un canal indépendant, par exemple un appel à un numéro déjà connu, toute demande de changement de RIB ou toute facture inhabituelle, comparer l’IBAN avec celui des factures précédentes et refuser toute modification dictée par l’urgence.