FACTUALI, l’opérateur de VosFactures, indique avoir été informé le 29 septembre 2026 d’une cyberattaque chez son prestataire technique Fakturownia. Dans sa notification aux utilisateurs, l’entreprise signale qu’un tiers a pu accéder à des données de comptes VosFactures, de clients et de fournisseurs, ainsi qu’à une partie des documents générés par le service. Cette analyse, publiée le 22 octobre, revient sur cet incident de fin septembre et ses conséquences possibles pour une petite entreprise.
Un logiciel de facturation ne contient pas seulement votre adresse de connexion. Il peut aussi décrire vos relations commerciales. Si ces informations sont exposées, une demande frauduleuse adressée à votre comptabilité ou à un client peut paraître familière. VosFactures cite ce risque dans ses consignes ; cela ne constitue pas la preuve qu’une fraude a déjà eu lieu.
Ce que VosFactures confirme sur son prestataire
La communication de FACTUALI situe l’incident dans l’infrastructure de Fakturownia et rapporte l’exploitation d’une faille du mécanisme de génération de PDF. Selon les informations transmises par le prestataire, elle aurait permis d’atteindre des fichiers de configuration contenant des identifiants techniques, puis une réplique de base de données. Cette chaîne est celle décrite par l’opérateur, pas une expertise indépendante.
FACTUALI distingue ses propres serveurs de ceux du prestataire et indique que les services de facturation électronique directement opérés dans son environnement n’ont pas été affectés. Cette distinction n’annule pas l’exposition possible des données VosFactures traitées chez Fakturownia. Les deux périmètres doivent être examinés séparément.
Un bilan français encore incomplet
Dans son communiqué mis à jour le 1er octobre, Fakturownia confirme une copie de données entre le 27 et le 28 septembre. Son bilan mentionne notamment des empreintes de mots de passe, des jetons d’accès et des informations de facturation, avec des périodes différentes selon les catégories.
La notification française est moins détaillée : elle ne permet pas de déduire le nombre de comptes ou de documents touchés, ni les données accessibles pour chaque entreprise. Les catégories et les volumes annoncés par Fakturownia ne doivent donc pas être attribués à tous les utilisateurs de VosFactures. Pour votre société, demandez à l’opérateur les précisions concernant votre compte et conservez les réponses avec la notification reçue.
Pourquoi vos clients et fournisseurs comptent aussi
La présence de données de tiers dans un logiciel de facturation change la lecture de l’incident. Vous pouvez protéger votre messagerie tout en ayant confié à votre outil de facturation des informations sur vos partenaires. Un escroc pourrait exploiter des détails commerciaux exposés pour se présenter comme un interlocuteur habituel, sans avoir piraté votre boîte mail. Il s’agit d’un scénario de risque, pas d’une conséquence constatée ici.
VosFactures mentionne notamment l’usurpation d’identité, le faux fournisseur et les demandes de changement de coordonnées bancaires. Une règle concrète reste valable même lorsque le message cite une opération réelle : confirmez le changement avec le partenaire à un numéro déjà enregistré. Notre article sur la fraude au président et le BEC détaille cette vérification indépendante.
Contrôler le compte et les logiciels connectés
Ouvrez VosFactures depuis l’adresse que vous utilisez habituellement pour consulter les consignes applicables à votre compte. Si vous avez réutilisé son mot de passe ailleurs, remplacez les valeurs identiques, notamment sur la messagerie liée au compte. Ce risque de réutilisation figure parmi ceux signalés par VosFactures ; la notification française ne permet pas de conclure que tous les mots de passe ont été dérobés.
Vérifiez séparément les intégrations. Dans un courriel aux utilisateurs, VosFactures a annoncé l’invalidation des anciens codes API pour le 1er octobre et demandé de créer de nouveaux codes depuis les paramètres du compte. Un code API permet à un autre logiciel de communiquer avec VosFactures : changer le mot de passe de connexion ne remplace pas cette opération.
Si votre comptable ou un intégrateur a configuré la connexion, faites-lui vérifier la consigne, remplacer le code lorsque nécessaire et contrôler que les données attendues circulent à nouveau. Le courriel annonce une mesure ; il ne démontre pas que chaque intégration a été mise à jour avec succès. VosFactures précise également ne pas demander ces codes par courriel ou par téléphone.
Préparer la réponse côté comptabilité
Pour une équipe qui utilise VosFactures, associez chaque action à une personne : le responsable du compte conserve les notifications et échange avec le support ; l’administrateur des connexions vérifie les intégrations ; la personne chargée des règlements contrôle les demandes inhabituelles. Cela évite qu’un accès renouvelé par un intervenant laisse un autre logiciel déconnecté ou une équipe mal informée.
Si des informations sur vos partenaires sont confirmées comme concernées, préparez avec votre responsable de la protection des données une communication adaptée au périmètre établi. Expliquez comment vérifier une demande venant de votre entreprise, sans affirmer que toutes vos factures ont été copiées. En cas de virement frauduleux, Cybermalveillance.gouv.fr recommande d’alerter immédiatement la banque et de conserver les preuves.
Le lien avec Soclyde
Pour les personnes qui administrent VosFactures et les outils comptables, Soclyde aide à créer des mots de passe uniques et à les conserver dans un coffre chiffré sur les appareils autorisés. Le partage entre utilisateurs, inclus dans Premium, permet de transmettre un accès à une personne habilitée en limitant les copies dans les courriels ou les documents de l’équipe.
Ce bénéfice concerne l’organisation des identifiants humains. La révocation d’un code API et sa mise à jour dans une intégration restent à effectuer dans VosFactures et le logiciel connecté. Soclyde ne protège pas l’infrastructure du prestataire, ne récupère pas les données copiées et ne vérifie pas les coordonnées bancaires d’un fournisseur.
À retenir
L’incident VosFactures pose deux questions à une petite entreprise : quels accès faut-il remettre en ordre et quelles informations sur ses partenaires ont pu être exposées ? Les réponses dépendent des notifications propres à votre compte. Distinguez les données françaises du bilan général de Fakturownia, vérifiez vos connexions entre logiciels et confirmez les changements de coordonnées bancaires par un canal connu.
Pour organiser les accès de votre équipe, consultez le guide du partage des mots de passe et le guide des mots de passe forts et uniques.
Visuel d’illustration généré : il ne représente pas une entreprise identifiée comme victime.
