À peine un mois à peine après le lancement de la facturation électronique obligatoire, VosFactures confirme une fuite de données chez l'un de ses prestataires. Par précaution, l'AIFE a suspendu ses échanges avec la plateforme agréée. Un premier gros couac.
La fuite de données chez VosFactures tombe au pire moment pour la facturation électronique, que toutes les entreprises assujetties à la TVA doivent savoir recevoir depuis le 1er septembre. Des données de comptes, des informations sur les clients et fournisseurs des utilisateurs, ainsi qu'une partie des documents générés ont pu être consultées par un intrus, entré par la porte d'un sous-traitant technique. Relayé ce jeudi 1er octobre par FrenchBreaches, l'incident, que beaucoup redoutaient et, par le temps qui courent, attendaient, a déjà fait réagir l'État, qui a mis ses échanges avec la plateforme sur pause.
Facturation électronique : l'État met VosFactures sur pause après une fuite de données
L'alerte a été donnée le 29 septembre. FACTUAL SAS, la société qui exploite le service de facturation en ligne VosFactures, a prévenu ses utilisateurs que son prestataire technique Fakturownia, une entreprise polonaise, a été victime d'une cyberattaque. Les serveurs de l'éditeur n'étaient pas directement visés. Le hic, c'est qu'une partie des données nécessaires au fonctionnement de VosFactures était justement traitée chez ce sous-traitant.
D'après les éléments transmis par le prestataire, l'attaquant aurait d'abord exploité une faille dans l'outil qui transforme les modèles de factures en fichiers PDF. Cette brèche lui aurait ouvert des fichiers de configuration, sortes de pense-bêtes techniques renfermant des clés applicatives et des identifiants utilisés par différents services. Trousseau en poche, il aurait ensuite pu exécuter des commandes sur plusieurs serveurs applicatifs du prestataire. Mais ce n'est pas encore le plus préoccupant.
L'intrus aurait alors obtenu un accès en lecture à une réplique de la base de données de production, dans le détail une copie miroir des informations du service, qu'il pouvait consulter, à défaut de modifier. Les cartes bancaires ne seraient pas concernées, assure l'éditeur, pas plus que les services de facturation électronique opérés dans son propre environnement cloud, un moindre mal. Celui-ci est qualifié SecNumCloud par l'Agence nationale de la sécurité des systèmes d'information (ANSSI), et l'éditeur dit n'y avoir détecté aucun élément révélant une compromission directe.
Aucune sanction pour les clients de la plateforme agréée
Dans la nuit de mercredi à jeudi, tout s'est un peu bousculé. L'information est parvenue aux oreilles de l'AIFE, l'Agence pour l'informatique financière de l'État, alors que l'éditeur avait communiqué dès le 29 septembre. Cette agence, qui est rattachée à Bercy, opère notamment Chorus Pro, le portail des factures adressées au secteur public, ainsi que plusieurs services liés à la réforme. Conformément à ses procédures, elle a suspendu à titre provisoire ses échanges avec FACTUALI, la plateforme agréée intégrée à VosFactures, autrement dit l'intermédiaire habilité par lequel doivent transiter les factures de ses clients.
Dans son communiqué, on sent que l'agence a bien choisi ses mots. Là où FrenchBreaches, en son rôle de lanceur d'alrte, classe l'incident comme confirmé, l'AIFE évoque un « potentiel vol de données » touchant un environnement technique utilisé par VosFactures. Elle précise qu'à ce stade, aucune donnée de facturation n'a été transmise à l'administration par cette solution dans le cadre du dispositif. Autre précision bienvenue pour les clients : aucune entreprise ne pourra être sanctionnée du fait des seules conséquences de cette suspension.
On se pose tout de même quelques questions à ce stade. Combien de comptes, de clients, de fournisseurs et de documents sont concernés ? Quel volume de données a été consulté, voire extrait, et pendant combien de temps ? Ni l'éditeur ni l'AIFE ne le précisent pour l'instant. L'agence attend de pouvoir rouvrir les vannes dans des conditions de sécurité satisfaisantes, sans forcément avancer de date. Elle a aussi demandé à FACTUALI d'informer immédiatement ses clients des conséquences pratiques de la suspension. L'affaire rappelle en tout cas qu'une qualification de sécurité ne protège que le périmètre qu'elle couvre, pas forcément celui des sous-traitants. On ne pouvait pas rêver plus mauvais départ pour la facturation électronique en France.
