Le piratage de VosFactures, plateforme agréée de facturation électronique, a été révélé le 1er octobre 2026, après un communiqué envoyé aux clients fin septembre. L’Agence pour l’Informatique Financière de l’État (AIFE) a suspendu les échanges avec la plateforme le temps de l’audit. Si vous êtes client, l’addition n’est pas financière dans l’immédiat. Elle est opérationnelle. Il faut vérifier vos coordonnées bancaires, changer vos mots de passe et sécuriser vos échanges avant tout nouveau paiement. Comptez entre 3 et 5 heures de travail réparties sur 48 heures si vous gérez une TPE avec un portefeuille client actif.
Le prix affiché : ce que VosFactures reconnaît avoir perdu
VosFactures a confirmé dans son communiqué de fin septembre 2026 une fuite de données touchant les coordonnées de facturation et potentiellement des RIB clients, avant que la révélation publique du 1er octobre ne pousse l’AIFE à suspendre les échanges avec la plateforme.
Le communiqué reste prudent sur l’ampleur réelle. Il évoque des identifiants de connexion, des factures émises et, pour une partie des comptes, des relevés d’identité bancaire stockés pour faciliter les paiements récurrents. Pas de chiffre sur le nombre de comptes touchés. Pas de calendrier non plus pour la fin de l’audit.
La suspension des échanges par l’AIFE n’est pas une sanction. C’est une mesure conservatoire, le temps de vérifier que la plateforme de dématérialisation partenaire (PDP, l’intermédiaire agréé chargé de transmettre vos factures à l’administration fiscale dans le cadre de la réforme de la facturation électronique) respecte encore les exigences de sécurité de son agrément. Tant que l’audit n’est pas clos, vos factures transitant par VosFactures ne remontent plus vers la DGFiP. Rien ne part. Rien n’arrive. C’est le vrai coût immédiat : une rupture dans votre chaîne de facturation, pas une perte d’argent constatée.
Dans l’attente des conclusions de l’audit, la prudence impose de documenter chaque facture bloquée. Notez la date d’émission, le montant et le client concerné : cette liste servira de preuve si un litige surgit plus tard sur un paiement retardé. Elle permettra aussi de reconstituer rapidement votre flux de facturation une fois les échanges rétablis avec la DGFiP.
Ces questions de responsabilité et de couverture rappellent celles soulevées autour de l’assurance du commissaire aux comptes : un agrément ne garantit jamais une protection totale.
Ce qui s’ajoute : le temps et les risques cachés pour vos clients
Au-delà de la fuite déclarée, chaque entreprise cliente de VosFactures doit compter le temps de vérification de ses factures émises, le risque de fraude au RIB modifié chez ses propres clients, et l’exposition potentielle de données fiscales transmises via la plateforme agréée.
Le scénario qui inquiète le plus les experts en fraude au paiement, c’est la facture frauduleuse. Un attaquant qui récupère un modèle de facture VosFactures peut en générer une copie quasi identique, avec un RIB différent, et l’envoyer à vos clients réguliers. Rien de nouveau dans la méthode. C’est la même logique que les fausses mises en demeure qui circulent chez les micro-entrepreneurs. Sauf qu’ici, la facture a l’air parfaitement légitime. Elle sort d’un outil connu de vos clients.
Ajoutez à cela la communication de crise que vous devez gérer vous-même. Prévenir vos clients prend du temps. Rédiger un message clair, sans affoler, en prend encore plus. Et pour les structures sans service juridique, la question de la notification à la CNIL se pose aussi, même si c’est VosFactures qui porte l’obligation principale en tant que responsable du traitement.
Pour chiffrer ce temps caché, comptez environ une heure pour relire vos vingt dernières factures émises, trente minutes pour rédiger un message de prévention à vos clients les plus réguliers, et une heure supplémentaire si vous devez contacter un à un les comptes qui règlent par virement récurrent. Ce sont des heures qui ne figurent sur aucune facture, mais qui pèsent directement sur votre activité facturable de la semaine.
Là où l’écart se creuse : les cas qui aggravent l’exposition
L’addition grimpe vite si vous avez automatisé les relances de paiement, si vos clients règlent sur la base du RIB inscrit en facture sans vérification téléphonique, ou si vous utilisiez VosFactures comme unique point d’intégration avec votre comptabilité et votre CRM.
Trois profils sont particulièrement exposés :
- les entreprises qui ont connecté VosFactures à un outil de relance automatique : un RIB frauduleux peut partir à toute leur base client en quelques minutes, sans contrôle humain ;
- celles dont les clients paient sur simple lecture de la facture, sans jamais appeler pour confirmer un changement de coordonnées bancaires ;
- les TPE qui ont fait de VosFactures le point central de leur stack logicielle, comptabilité et CRM compris, et qui n’ont donc qu’un seul mot de passe à changer, mais un seul point de défaillance aussi.
Le risque grimpe vite. Un dirigeant qui gère sa facturation à la main, avec une vérification systématique avant chaque paiement, limite largement les dégâts. L’automatisation ne protège de rien par elle-même. Celui qui a tout automatisé pour gagner du temps se retrouve, ironiquement, avec le plus de travail à faire une fois la faille révélée. Un parallèle s’impose avec la sécurisation des transactions en ligne : plus l’automatisation est poussée, plus le contrôle humain doit rester présent à un point du parcours.
Pour ces profils à risque, l’épisode VosFactures mérite d’être pris comme un signal plutôt qu’un simple incident à encaisser. Revoir la configuration de vos outils de relance, ajouter une étape de validation manuelle avant tout envoi de facture automatisé, ou diversifier vos points d’intégration logicielle sont des chantiers à lancer une fois la crise immédiate passée. Ils coûtent du temps aujourd’hui, mais ils évitent d’avoir à refaire exactement le même exercice la prochaine fois qu’un prestataire sera touché.
Comment réduire l’exposition en 48 heures ?
Trois actions comptent dans les 48 heures. Changez tous les mots de passe liés à VosFactures et aux comptes connectés. Appelez vos clients réguliers pour confirmer votre RIB réel. Vérifiez vos relevés bancaires des 30 derniers jours pour repérer tout virement suspect.
Ajoutez à cette liste deux réflexes supplémentaires. Désactivez temporairement les relances automatiques tant que l’audit de VosFactures n’est pas clos, pour éviter qu’une facture frauduleuse ne parte sans contrôle. Conservez une trace écrite de chaque appel passé à un client pour confirmer un RIB : en cas de litige ultérieur, cette traçabilité démontrera que vous avez agi avec diligence.
Un tweet largement repris résume l’ambiance du moment : « 30 jours. C’est le temps qu’il aura fallu à ma plateforme agréée de facturation pour se faire pirater. » Le parallèle est cruel. Trente jours, c’est aussi, à peu près, le temps qu’il faut à une TPE pour détecter une fraude au virement si personne ne vérifie les relevés bancaires chaque semaine. La leçon à retenir de l’épisode VosFactures n’est pas de fuir les plateformes agréées de facturation électronique : la réforme impose d’en utiliser une. Elle est de ne jamais faire reposer la sécurité de vos paiements sur un seul outil, aussi certifié soit-il.