VosFactures : fuite de données via son prestataire Fakturownia

La plateforme de facturation VosFactures, exploitée par FACTUAL SAS, a notifié ses utilisateurs d'une fuite de données survenue chez son prestataire technique polonais Fakturownia. L'AIFE (Agence pour l'informatique financière de l'État) a suspendu par précaution les échanges entre ses services et VosFactures. L'incident tombe un mois après l'entrée en vigueur des premières obligations de la facturation électronique.

Ce qui s'est passé

Selon ZATAZ et Clubic, la notification de FACTUAL décrit une faille dans la génération de PDF ayant donné accès à des clés techniques, puis à une copie de la base de données de production. L'AIFE a reçu l'alerte dans la nuit de mercredi à jeudi et précise que « cette solution n'avait encore acheminé aucune donnée de facturation vers l'administration » — mais cette distinction ne garantit pas l'absence d'exposition chez le prestataire.

Données concernées

D'après la notification relayée par FrenchBreaches, ont pu être consultées par un tiers non autorisé :

• les données des comptes VosFactures
• les informations sur les clients et fournisseurs des utilisateurs
• une partie des documents générés via le service

FACTUAL indique que ses services de facturation électronique opérés dans son propre environnement, ainsi que les données de cartes bancaires, ont été épargnés.

L'attaquant

L'auteur, sous le pseudonyme « Fingerprint », revendique le vol de 6 To de factures — un volume non vérifié. Le même pseudonyme revendique également les piratages de MyDr (18 millions de personnes) et Medyc (5 millions). Ces revendications n'ont pas été recoupées avec les déclarations des victimes citées.

Que faire

1. Si vous utilisez VosFactures, considérez vos clés d'API et jetons d'intégration comme compromis : révoquez-les et régénérez-les.
2. Forcez la réinitialisation des mots de passe liés au compte.
3. Traitez les documents et coordonnées clients/fournisseurs comme exposés : alertez vos équipes comptables sur les risques de fraude au virement et de faux ordres de paiement s'appuyant sur de vraies factures.
4. Suivez les communications officielles de FACTUAL et de l'AIFE pour le rétablissement des échanges.

Contexte

C'est, d'après ZATAZ, la première fuite confirmée touchant l'écosystème de la facturation électronique obligatoire, un mois après le démarrage de la réforme. Le schéma est désormais familier : une plateforme concentre les relations financières de milliers d'entreprises, et c'est un sous-traitant — ici polonais — qui constitue le maillon faible. La même journée, un volet international de l'affaire Fakturownia touche la Pologne (voir notre édition anglaise).