Fuite de données chez VosFactures, plateforme agréée de facturation électronique : l'État suspend ses échanges avec elle

Le prestataire polonais de la plateforme agréée VosFactures, Fakturownia, a détecté le 28 septembre 2026 un accès non autorisé à ses serveurs : comptes, fichiers clients et fournisseurs et factures antérieures à 2023 ont pu être consultés. Par précaution, l'AIFE a suspendu ses échanges avec FACTUALI/VosFactures. Les versions divergent sur les données bancaires : 01net affirme que certaines coordonnées ont été piratées, Factuali assure que celles hébergées sur ses propres serveurs ne sont pas touchées.

L'analyse

📌 **FAITS**

- **27–28 septembre 2026** : une personne non autorisée accède aux serveurs de Fakturownia, prestataire technique polonais de VosFactures (du 27/09 vers 3h20 au 28/09 vers 17h45 selon le communiqué officiel de Fakturownia). L'intrusion est détectée le 28 septembre ; Factuali, éditeur de VosFactures, prévient ses utilisateurs le 29 septembre.

- **Mode opératoire** (communiqué cité par 01net) : une faille dans l'outil de génération de PDF à partir de modèles de factures a donné accès à des fichiers de configuration contenant des clés applicatives et des identifiants techniques, puis à une réplique de la base de production. Le pirate « Fingerprint » a revendiqué l'attaque.

- **Données exposées** : comptes des entreprises et utilisateurs, données de leurs clients, fournisseurs et partenaires, empreintes de mots de passe, factures antérieures au 1er janvier 2023. Les données complètes de cartes bancaires ne sont pas concernées.

- **Point disputé — données bancaires** : 01net écrit que certaines coordonnées bancaires ont été piratées ; Factuali affirme que les données bancaires et les services de facturation électronique hébergés sur ses propres serveurs (SecNumCloud) ne sont pas touchés.

- **Réaction de l'État** : l'AIFE a suspendu à titre provisoire, par précaution, les échanges entre FACTUALI/VosFactures et ses services. Elle indique qu'aucune donnée de facturation n'avait été transmise à l'administration via cette solution et qu'aucune entreprise ne sera sanctionnée du seul fait de la suspension.

- **Contexte réglementaire** : depuis le 1er septembre 2026, toutes les entreprises assujetties à la TVA doivent pouvoir recevoir des factures électroniques et les grandes entreprises et ETI doivent les émettre ; les PME et micro-entreprises devront émettre à partir du 1er septembre 2027.

📍 **CONTEXTE**

VosFactures figure parmi les plateformes agréées par l'administration fiscale pour la facturation électronique (statut obtenu en avril selon 01net). Quelques semaines plus tôt, la plateforme Welyb, utilisée par des cabinets comptables, avait elle aussi subi une fuite (01net) : c'est un incident distinct.

👥 **ACTEURS**

- **VosFactures / Factuali (FACTUAL SAS)** : plateforme agréée et son éditeur niçois.

- **Fakturownia** : maison mère et prestataire technique polonais, dont les serveurs ont été compromis.

- **Fingerprint** : pirate ayant revendiqué l'attaque.

- **AIFE** : Agence pour l'informatique financière de l'État, qui a suspendu les échanges.

❓ **CE QUI N'EST PAS ÉTABLI**

- Nombre de comptes et d'entreprises françaises touchés (non communiqué).

- Périmètre exact des données bancaires pour les comptes français.

- Volume de 6 To revendiqué par le pirate (non vérifié).

- Durée de la suspension et conditions de reprise des échanges avec l'AIFE.

- Signalement à la CNIL (non mentionné dans l'annonce de Factuali).

Contexte

Cette fuite survient un mois après l'entrée en vigueur de la facturation électronique obligatoire (1er septembre 2026), une réforme prévue depuis la loi de finances 2020.

Pourquoi c'est important

Ce sujet concerne directement toutes les entreprises françaises, car la facturation électronique devient obligatoire pour toutes les tailles d'entreprises d'ici 2027. La fuite chez VosFactures montre que les données sensibles (coordonnées bancaires, factures) centralisées sur des plateformes privées peuvent être piratées, ce qui expose les entreprises à des risques de fraude et de chantage. Il est essentiel de comprendre les mesures de sécurité mises en place et les recours possibles.

Acteurs clés

VosFactures — Plateforme agréée de facturation électronique
A informé ses clients de la fuite (communiqué cité par 01net)
Factuali (FACTUAL SAS) — Éditeur de VosFactures
Affirme que son environnement SecNumCloud n'est pas compromis et que les données bancaires qu'il héberge ne sont pas concernées (Midi Libre, Frandroid)
Fakturownia — Maison mère et prestataire technique polonais
Serveurs compromis ; a publié un communiqué officiel
Fingerprint — Pirate informatique
A revendiqué l'attaque
AIFE — Agence pour l'informatique financière de l'État
A suspendu ses échanges avec FACTUALI/VosFactures

Chiffres clés

28 septembre 2026 — Détection de l'accès non autorisé (Fakturownia (communiqué officiel))
du 27/09 vers 3h20 au 28/09 vers 17h45 — Durée de l'accès non autorisé (Fakturownia (communiqué officiel))
29 septembre 2026 — Information des utilisateurs par Factuali (Frandroid / Solutions Numériques)
émises avant le 1er janvier 2023 — Factures concernées (01net (communiqué VosFactures))
6 To — Volume revendiqué par le pirate (non vérifié) (Frandroid)
toutes les entreprises assujetties à la TVA depuis le 1er septembre 2026 — Obligation de réception des factures électroniques (Ministère de l'Économie (via Midi Libre))

Et ensuite

Scénario tendanciel : la réforme se poursuit, mais la confiance des entreprises pourrait baisser si d'autres fuites surviennent. L'AIFE pourrait renforcer les exigences de sécurité pour les plateformes agréées. Scénario de rupture : si des données bancaires sont exploitées, un moratoire pourrait être demandé, comme le réclame La France insoumise, et les petites entreprises pourraient exiger des garanties supplémentaires avant 2027.

Questions fréquentes

Quelles données ont été exposées lors de la fuite chez VosFactures ?

Selon le communiqué de VosFactures cité par 01net : données des comptes entreprises et utilisateurs, de leurs clients, fournisseurs et partenaires, empreintes cryptographiques des mots de passe et factures antérieures au 1er janvier 2023 ; les données complètes de cartes bancaires ne sont pas concernées. Sur les coordonnées bancaires, les versions divergent : 01net écrit que certaines ont été piratées, Factuali (cité par Midi Libre et Frandroid) affirme que les données bancaires hébergées sur ses propres serveurs ne sont pas touchées.

Les entreprises clientes risquent-elles une sanction à cause de la suspension par l'AIFE ?

Non selon l'AIFE, qui précise, d'après son message relayé par Zataz et Solutions Numériques, qu'aucune entreprise ne pourra être sanctionnée du seul fait de cette suspension. L'agence indique aussi qu'aucune donnée de facturation n'avait encore été transmise à l'administration via cette solution.

La facturation électronique est-elle obligatoire pour toutes les entreprises ?

Depuis le 1er septembre 2026, toutes les entreprises assujetties à la TVA doivent pouvoir recevoir des factures électroniques, et les grandes entreprises et ETI doivent aussi les émettre. Les PME et micro-entreprises devront émettre leurs factures au format électronique à partir du 1er septembre 2027.

Sources

Lire l'analyse complète dans PRISM