Facturation électronique : un mois après la réforme, les pirates attaquent déjà

Depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir recevoir leurs factures sous forme électronique, par l'intermédiaire d'une plateforme agréée par l'administration fiscale. Les grandes entreprises et les entreprises de taille intermédiaire doivent aussi les émettre ainsi ; les PME, les TPE et les micro-entreprises ont jusqu'au 1er septembre 2027. Un mois à peine après le démarrage, les pirates s'intéressent déjà à ces plateformes. Elles concentrent des informations très convoitées : qui facture qui, combien, et sur quel compte bancaire.

VosFactures, une plateforme agréée, victime d'une fuite

Le 28 septembre, Factuali, la société niçoise qui édite VosFactures, a repéré une intrusion, qu'elle a annoncée le lendemain. L'attaquant, qui se fait appeler « Fingerprint », ne s'en est pas pris directement à la plateforme mais à son prestataire technique polonais, Fakturownia. D'après le site French Breaches, une faille de l'outil qui génère les factures en PDF lui a permis de lire des fichiers de configuration contenant des clés techniques, puis de progresser dans les serveurs. Des données de comptes, des mots de passe, des fichiers de clients et de fournisseurs et des documents produits par le service ont pu être consultés.

L'éditeur assure que les données bancaires et les services de facturation électronique, hébergés sur ses propres serveurs, ne sont pas concernés ; d'autres médias évoquent pourtant des coordonnées bancaires exposées, et le pirate revendique près de 6 téraoctets de factures, un chiffre invérifiable. Le nombre de comptes touchés n'a pas été communiqué. Par précaution, l'Agence pour l'informatique financière de l'État (AIFE), qui fait fonctionner le dispositif national, a suspendu ses échanges avec VosFactures, et les codes d'accès des logiciels connectés à la plateforme (codes API) ont été invalidés.

Les cabinets d'expertise comptable aussi dans le viseur

Le jour même de l'entrée en vigueur de la réforme, Welyb, une plateforme utilisée par des cabinets d'expertise comptable et liée au portail Agiris Connect, a subi des accès non autorisés, par la faille d'un composant technique. Révélée le 15 septembre, la fuite concerne les noms, adresses, numéros de téléphone, adresses e-mail et mots de passe (sous forme d'empreintes) de clients. Welyb indique avoir fermé la faille et prévenu la CNIL ; rien n'indique que des factures aient été visées.

Le vrai danger : la fausse facture parfaite

Pour un escroc, une base de factures est une mine d'or. Il sait qui sont vos fournisseurs, quels montants vous réglez et à quel rythme. Il peut alors vous envoyer une fausse facture, ou un e-mail annonçant un « changement de RIB », avec de vrais noms, de vrais numéros et de vrais montants : c'est la fraude au faux fournisseur, d'autant plus crédible que tout semble exact. Les mots de passe dérobés posent un autre problème : s'ils sont faibles ou réutilisés ailleurs, ils ouvrent d'autres portes, à commencer par votre messagerie.

Comme le souligne Le Monde Informatique, la facturation devient une zone sensible à part entière : plateformes externes, logiciels connectés, comptes et clés d'accès multiplient les portes d'entrée.

Six réflexes pour votre entreprise

1. Vous utilisez VosFactures, ou Welyb par l'intermédiaire de votre comptable ? Changez votre mot de passe, renouvelez vos codes API si vous en utilisez, et surveillez de près les factures et les paiements des prochaines semaines.
2. Ne changez jamais un RIB sur la foi d'un e-mail ou d'une facture. Rappelez votre fournisseur à un numéro que vous connaissez déjà, jamais à celui indiqué dans le message.
3. Méfiez-vous des factures « trop vraies » : un vrai numéro de commande ou un montant exact ne prouvent plus rien, surtout si l'on vous presse de payer.
4. Un mot de passe différent pour chaque service, rangé dans un gestionnaire de mots de passe, et la double authentification partout où elle existe : plateforme de facturation, banque, messagerie.
5. Faites le ménage dans les accès : anciens salariés, ancien cabinet comptable, logiciels connectés que vous n'utilisez plus.
6. Protégez le poste qui sert à facturer : Windows et logiciels à jour, antivirus actif, pièces jointes ouvertes avec prudence, et une copie de vos factures sauvegardée en dehors de la plateforme.

Vous n'avez pas encore choisi votre plateforme pour 2027 ? Vérifiez qu'elle figure bien parmi les plateformes agréées par l'administration fiscale, et demandez où sont hébergées vos données, avec quels prestataires, et si la double authentification est proposée.

SosPC54 vous aide à sécuriser votre facturation

Artisans, commerçants, TPE du Grand Nancy : SosPC54 peut faire le point sur vos comptes et vos accès, mettre en place un gestionnaire de mots de passe et la double authentification, et sécuriser le poste qui sert à facturer. Avec le contrat annuel de maintenance informatique TPE, dès 40 € par mois et par poste, nous nous occupons des mises à jour, de l'antivirus et de la sauvegarde. Et si vous pensez avoir été victime d'une fraude, une expertise informatique peut appuyer votre dépôt de plainte ou votre déclaration à l'assurance.

Un doute sur un e-mail ou une facture ? Contactez-nous : le diagnostic par téléphone et le devis sont gratuits.

Sources : Midi Libre (2 octobre 2026), GNT (1er octobre 2026), Econostrum, Imaz Press, Le Monde Informatique et, pour le calendrier de la réforme, economie.gouv.fr.