Facturation électronique : l'État suspend une plateforme agréée après une fuite

Une intrusion chez un sous-traitant polonais

Selon le communiqué d'incident publié par Fakturownia, un accès non autorisé a eu lieu entre le 27 septembre 2026 vers 3 h 20 et le 28 septembre vers 17 h 45. L'éditeur polonais indique qu'une personne non autorisée a copié une grande partie de sa base de données, que l'ensemble des comptes est concerné, et qu'environ 2 250 comptes ont vu la totalité de leurs données 2022-2026 extraites.

Fakturownia détaille les catégories touchées : informations de société et d'utilisateur, mots de passe hachés, jetons d'API et d'intégration, identifiants de session, données de contacts ajoutées avant le 16 octobre 2024, montants de factures sur toute la période et contenu complet des factures antérieures au 22 mars 2021. L'éditeur indique avoir notifié l'autorité polonaise de protection des données (UODO), le CERT Polska et la police le 29 septembre, fermé la vulnérabilité le 28 septembre à 18 h 01 et remplacé les jetons d'API de ses clients dans la nuit du 28 au 29 septembre.

Côté français, Next rapporte que la faille se situait dans un mécanisme de génération de PDF et que VosFactures affirme que ses propres serveurs n'ont pas été directement attaqués. Le service, qui revendique environ 500 000 clients selon Next, a invalidé l'ensemble des codes d'API délivrés jusqu'au 1er octobre : ses utilisateurs doivent en générer de nouveaux et mettre à jour leurs intégrations. Zataz indique pour sa part que le vice-Premier ministre polonais chargé du numérique, Krzysztof Gawkowski, a confirmé l'attaque le 29 septembre.

La suspension de l'AIFE, puis le rétablissement

Dans une communication publiée le 2 octobre 2026 sur le portail Chorus Pro, l'AIFE indique avoir été informée dans la nuit du mercredi au jeudi d'un potentiel vol de données affectant un environnement technique utilisé par VosFactures, et avoir suspendu à titre provisoire les échanges avec FACTUALI. L'agence précise qu'aucune donnée de facturation n'avait été transmise à l'administration par cette solution à ce stade. Elle demande à l'éditeur de prévenir sans délai les entreprises concernées et affirme qu'aucune entreprise ne pourra être sanctionnée du fait des seules conséquences de cette suspension.

Le bandeau a été modifié pendant le week-end. Selon Next, il indique désormais que les échanges entre la plateforme agréée et les services opérés par l'AIFE ont été rétablis et qu'ils restent sous surveillance, comme pour l'ensemble des partenaires.

Pourquoi c'est important

C'est le premier cas connu, depuis l'entrée en vigueur de l'obligation le 1er septembre 2026, où l'administration coupe le lien avec une plateforme agréée. Il montre deux choses. D'abord qu'une plateforme peut être mise hors circuit sans défaillance directe de sa part : l'origine de l'incident se situe chez un sous-traitant établi dans un autre État membre. Ensuite que la décision de l'administration est rapide et unilatérale, puis réversible une fois les éléments techniques communiqués. Pour une PME ou une ETI, cela signifie qu'un maillon qu'elle n'a pas choisi, le sous-traitant de son prestataire, peut interrompre ses flux de facturation. La position de l'AIFE sur l'absence de sanction lève le risque fiscal, mais elle ne règle ni les retards d'encaissement, ni la charge de rattrapage pour la comptabilité.

Ce que ça change pour votre projet ERP

Trois points méritent d'être traités dès maintenant. Demandez à l'éditeur de votre ERP conforme à la facturation électronique, ou à la plateforme qu'il vous recommande, la liste de ses sous-traitants ultérieurs et le pays d'hébergement réel des données, et pas seulement celui de la plateforme. Vérifiez ensuite, dans le contrat, le délai de notification en cas d'incident et l'existence d'une procédure de bascule vers une autre plateforme agréée. Enfin, si vos connecteurs reposent sur des jetons d'API, inscrivez leur rotation dans vos procédures d'exploitation : dans ce cas précis, l'invalidation des clés a obligé les clients à reprendre leurs intégrations. Le sujet rejoint plus largement la cybersécurité de votre ERP.