comprendre la réforme

VosFactures piraté : l'AIFE suspend Factuali, première Plateforme Agréée mise à l'arrêt

Depuis le 1er septembre 2026, une Plateforme Agréée qui s'arrête, c'est votre facturation qui s'arrête avec elle. C'est exactement ce qui est en train de se jouer avec VosFactures et sa Plateforme Agréée intégrée, Factuali : une fuite de données chez un sous-traitant a conduit l'AIFE à couper, par précaution, ses échanges avec l'État. Ce n'est pas une panne technique ordinaire : c'est le premier cas documenté d'une Plateforme Agréée elle-même mise à l'arrêt côté échanges administratifs depuis le lancement de la réforme.

Ce qui s'est passé : la chronologie de l'incident VosFactures/Factuali

Une intrusion a été détectée le 28 septembre 2026 chez Fakturownia, le prestataire technique polonais de VosFactures. FACTUAL SAS, l'éditeur français de VosFactures, l'a annoncée le 29 septembre 2026. La faille se trouvait dans l'outil de génération de PDF à partir des modèles de facture, ce qui a donné accès à des fichiers de configuration — clés d'application, identifiants techniques — puis à un accès en lecture à une réplique de la base de données de production. Les données de comptes VosFactures, des informations sur les clients et fournisseurs des utilisateurs, ainsi qu'une partie des documents générés sont concernées ; les données de carte bancaire ne seraient pas affectées, selon les informations communiquées par l'éditeur.

Pourquoi ce cas est différent des précédents incidents de l'année

La différence tient à la nature de l'outil touché, pas seulement à la fuite elle-même. Deux couches bien distinctes se superposent ici : d'une part, la fuite de données survenue chez le sous-traitant polonais Fakturownia, qui est l'origine technique de l'incident ; d'autre part, la décision administrative de l'AIFE de suspendre les échanges de Factuali/VosFactures avec l'État, qui en est la conséquence. Jusqu'ici, les incidents cyber recensés sur l'écosystème de la facturation électronique touchaient des outils connexes et non des Plateformes Agréées elles-mêmes : c'était le cas de la fuite ayant visé Welyb/AGIRIS Connect, un outil utilisé par des cabinets comptables, détaillée dans notre analyse de cet incident. Factuali, à l'inverse, est bien une Plateforme Agréée immatriculée au sens de la réforme — pas un simple outil périphérique.

Ce que signifie concrètement la suspension décidée par l'AIFE

L'AIFE a suspendu à titre de précaution ses échanges avec Factuali/VosFactures, et les codes API existants devaient être invalidés le 1er octobre 2026. Cette décision est qualifiée de provisoire et de précaution par l'AIFE : ce n'est pas, à ce stade, une sanction définitive pour non-conformité au bilan de suivi cybersécurité que les Plateformes Agréées devaient remettre avant la fin septembre 2026, un mécanisme distinct détaillé dans notre guide sur le bilan cybersécurité obligatoire des Plateformes Agréées. Les deux mécanismes peuvent aboutir à la même conséquence pratique — une coupure de vos flux d'émission et de réception — mais leur déclencheur n'est pas le même : ici, une fuite de données détectée chez un sous-traitant ; dans l'autre cas, un contrôle de conformité cybersécurité qui échoue.

Si vous utilisez VosFactures ou Factuali : les réflexes à avoir maintenant

Trois actions, dans l'ordre. Un, vérifiez le statut réel de votre Plateforme Agréée directement dans votre espace professionnel sur impots.gouv.fr plutôt que de vous fier uniquement à la communication de votre prestataire. Deux, si vos échanges sont effectivement coupés, activez une Plateforme Agréée de secours avant toute résiliation : la mécanique de changement, l'ordre des opérations et la portabilité de vos données sont détaillés dans notre guide sur le changement de Plateforme Agréée. Trois, documentez l'incident — durée de la coupure, factures bloquées, échanges avec votre prestataire — comme vous le feriez face à toute panne de Plateforme Agréée, couvert dans notre guide sur la panne de Plateforme Agréée. Par précaution, changez également votre mot de passe VosFactures et restez vigilant face à tout message inhabituel demandant un paiement urgent ou un changement de RIB dans les semaines qui suivent.

Ce que cet incident change dans le choix d'une Plateforme Agréée

VosFactures revendique plus de 500 000 utilisateurs professionnels selon les sources de presse consultées ; le volume exact de données françaises concernées et le nombre d'entreprises touchées n'étaient pas communiqués au moment de la rédaction — un chiffre à vérifier si une communication officielle émerge. Au-delà du cas précis, cet incident illustre un angle souvent oublié dans le choix d'une Plateforme Agréée : la faille ne vient pas de Factuali/VosFactures directement, mais de sa dépendance à un sous-traitant technique étranger, Fakturownia. Vérifier l'adossement et la solidité d'une Plateforme Agréée ne suffit pas si l'on ignore qui sont ses propres prestataires techniques : notre guide sur les critères pour choisir une Plateforme Agréée fiable détaille les autres signaux à vérifier avant de signer. Pour comparer les Plateformes Agréées actuellement immatriculées, direction notre comparateur des Plateformes Agréées.

Trois incidents cyber distincts en 2026, à ne pas confondre

Cet incident est le troisième touchant l'écosystème de la facturation électronique cette année, et chacun est différent. L'été 2026, une cyberattaque revendiquée a visé le système d'information de la DGFiP, détaillée dans notre guide sur les risques de suspension de la réforme. En septembre 2026, une fuite a touché Welyb/AGIRIS Connect, un outil de centralisation documentaire utilisé par des cabinets comptables, pas une Plateforme Agréée elle-même (guide dédié). Fin septembre 2026, enfin, le cas VosFactures/Factuali est le premier à toucher directement une Plateforme Agréée immatriculée. Trois incidents, trois cibles, trois mécanismes de réponse différents : les confondre reviendrait à mal évaluer le risque réel qui pèse sur votre propre choix de prestataire.

Questions fréquentes

Q.Qu'est-ce qui s'est passé chez VosFactures et Factuali ?

Une intrusion a été détectée le 28 septembre 2026 chez Fakturownia, le prestataire technique polonais de VosFactures, donnant accès à une réplique de la base de données de production. FACTUAL SAS, l'éditeur de VosFactures, l'a annoncé le 29 septembre 2026. En conséquence, l'AIFE a suspendu à titre de précaution ses échanges avec Factuali, la Plateforme Agréée intégrée à VosFactures.

Q.Mes données sont-elles concernées si j'utilise VosFactures ou Factuali ?

Les données de comptes VosFactures, des informations sur vos clients et fournisseurs, ainsi qu'une partie des documents générés peuvent être concernées. Les données de carte bancaire ne seraient pas affectées selon les informations disponibles à ce jour. Vérifiez directement avec votre prestataire l'étendue exacte de ce qui vous concerne.

Q.Factuali est-elle la première Plateforme Agréée suspendue depuis le lancement de la réforme ?

Oui : c'est le premier cas documenté d'une Plateforme Agréée elle-même suspendue côté échanges avec l'État. Les incidents cyber précédents de 2026 (DGFiP, Welyb/AGIRIS) avaient touché le système d'information de l'administration ou un outil connexe, pas une Plateforme Agréée immatriculée.

Q.Cette suspension est-elle liée au bilan cybersécurité obligatoire des Plateformes Agréées ?

Non, ce sont deux mécanismes distincts. Le bilan cybersécurité de fin septembre 2026 peut entraîner une suspension pour non-conformité au niveau de sécurité exigé. La suspension de Factuali/VosFactures, elle, est une mesure de précaution décidée par l'AIFE après la découverte d'une fuite de données chez un sous-traitant — pas une sanction pour un audit de conformité qui aurait échoué.

Q.Que dois-je faire si je suis utilisateur de VosFactures ou Factuali ?

Vérifiez le statut réel de votre Plateforme Agréée sur votre espace professionnel impots.gouv.fr, activez une plateforme de secours avant toute résiliation si vos échanges sont coupés, et documentez la durée de l'incident pour un éventuel recours. Changez aussi votre mot de passe par précaution.

Q.Les codes API de VosFactures sont-ils toujours valides ?

Selon les informations disponibles au moment de la rédaction, les codes API existants devaient être invalidés le 1er octobre 2026. Vérifiez auprès de votre prestataire si cette invalidation a bien eu lieu et quelles sont les démarches pour obtenir de nouveaux accès.

Où en êtes-vous, concrètement ?

5 questions, verdict immédiat, plan d'action personnalisé.

Faire le diagnostic gratuit →

À lire ensuite

Information générale, non constitutive d'un conseil comptable, fiscal ou juridique personnalisé.