Fin septembre 2026, la société qui édite le logiciel de facturation en ligne VosFactures, utilisé par de nombreuses entreprises françaises, a adressé à ses clients un communiqué pour les informer qu’elle avait été victime d’une cyberattaque : un attaquant aurait exploité une faille affectant un outil de génération de fichiers PDF à partir de modèles de factures, accédé à des fichiers de configuration de serveurs, puis à la base de données de production de la plateforme. C’est ce que relate 01net dans un article publié le 1er octobre 2026 à 13h30, qui cite ce communiqué. Selon les investigations de la société relatées par le journal, le pirate aurait pu consulter les données des comptes des entreprises clientes et de leurs utilisateurs, mais aussi celles des clients, des fournisseurs et des partenaires enregistrés sur la plateforme, les empreintes cryptographiques des mots de passe, certaines coordonnées bancaires et informations de paiement, ainsi que des factures antérieures au 1er janvier 2023. La société affirme qu’aucune donnée n’aurait été supprimée pendant l’attaque et que les données complètes de cartes bancaires n’auraient pas été dérobées.
La réponse, pour les entreprises concernées, tient en quatre gestes. L’entreprise cliente du logiciel fige immédiatement les preuves du périmètre exposé et relit son contrat pour savoir ce que l’éditeur lui devait en sécurité et en information. Elle vérifie si elle doit notifier l’incident à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, et si elle doit en informer les personnes concernées. Ses propres clients, fournisseurs et partenaires, dont les données ont été exposées par ricochet, traitent avec scepticisme toute demande de changement de coordonnées bancaires : c’est là que se joue la seconde vague, celle des fausses factures et des faux RIB. Et chacun chiffre ses préjudices pour décider d’un recours contre l’éditeur, en sachant que les juges partagent souvent les responsabilités entre un prestataire défaillant et un client qui n’a pas défini ses besoins.
Trois réserves commandent toute la lecture. D’abord, à la date de rédaction, les faits techniques ne sont connus que par le communiqué de la société tel que la presse le rapporte : aucune intrusion ni aucun usage frauduleux des données n’a été constaté par une source officielle, aucune responsabilité n’est établie à l’encontre de quiconque, et les qualifications juridiques évoquées ici sont des hypothèses de travail, pas des constats. Ce qui jouerait en faveur de l’éditeur, si ses affirmations se confirment, est dit par lui-même : aucune donnée supprimée, des mots de passe exposés sous forme d’empreintes cryptographiques seulement, des factures postérieures au 31 décembre 2023 qui n’auraient pas été volées, et une information spontanée de ses clients. Ensuite, les contrats signés — contrat d’abonnement, conditions générales, accord de traitement des données, bons de commande — priment sur toute analyse générale, conformément à l’article 1103 du code civil (« Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. »), et seul le juge, au vu des preuves effectivement rapportées, dira qui doit quoi à qui. Enfin, les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable où le logiciel d’une entreprise expose les données de ses partenaires, et ne décrivent pas la situation particulière de telle ou telle société.
I. L’entreprise cliente du logiciel : figer les preuves, notifier, exiger des comptes
L’entreprise qui utilise le logiciel piraté est la première exposée, et doublement : ses propres données ont été consultées, et elle répond vis-à-vis de ses clients et fournisseurs dont elle a confié les données à son prestataire. C’est elle qui doit agir en premier, avant même de savoir si ses données seront exploitées.
A. Figer le périmètre et relire ce que l’éditeur avait promis
Le premier travail est probatoire. L’entreprise conserve le communiqué de l’éditeur, les échanges avec son support, les journaux de connexion à la plateforme sur la période de l’attaque, la liste des comptes utilisateurs et des tiers enregistrés, et l’inventaire des factures et coordonnées bancaires stockées. Elle fait constater par son expert-comptable le coût des mesures immédiates : changement des mots de passe, audit, surveillance des comptes. Cette discipline n’est pas du formalisme : devant le juge, le client d’un prestataire informatique qui réclame une indemnisation doit rapporter la preuve de chaque poste, et les juridictions écartent les préjudices démontrés par de simples tableaux établis par la victime elle-même. La cour d’appel de Reims l’a rappelé le 28 avril 2026 dans un litige opposant une PME à son prestataire informatique après une attaque par rançongiciel : elle a retenu la perte d’exploitation attestée par l’expert-comptable et les factures de remise en état, mais rejeté le coût du temps passé démontré par un simple récapitulatif interne et le coût d’audits décidés unilatéralement (cour d’appel de Reims, chambre civile et commerciale, 28 avril 2026, RG n° 24/01502).
Le deuxième travail est contractuel. L’entreprise relit ce que l’éditeur s’était engagé à faire : niveaux de service, mesures de sécurité promises, procédure d’information en cas d’incident, plafonds de responsabilité, et surtout accord sur le traitement des données personnelles. Un point mérite une attention particulière : les clauses qui limiteraient la responsabilité de l’éditeur ne lui sont opposables que si elles ont été effectivement acceptées. Dans l’arrêt de Reims précité, la cour a écarté la clause par laquelle le prestataire déclarait le client seul responsable de ses données et de leurs sauvegardes, au motif que le document n’était pas joint au devis accepté et ne portait aucune signature du client : ces conditions générales lui étaient donc inopposables. Pour l’entreprise cliente d’un logiciel en ligne, la question est la même : a-t-elle signé ou accepté par un clic traçable les conditions qui plafonnent la réparation ? À défaut, l’éditeur pourrait difficilement s’en prévaloir.
Le troisième travail est l’identification des rôles au sens du droit des données personnelles. L’entreprise cliente, qui détermine pourquoi et comment les données de ses propres clients et fournisseurs sont traitées dans l’outil, est en principe responsable du traitement ; l’éditeur qui héberge et traite ces données pour son compte est en principe son sous-traitant. Cette répartition n’est pas théorique : elle commande qui notifie quoi, comme on le verra, et qui répond de quoi. Le règlement européen sur la protection des données exige que le traitement par un sous-traitant soit régi par un contrat qui, notamment, doit définir l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données personnelles et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement (article 28, paragraphe 3, du règlement européen sur la protection des données). L’entreprise vérifie donc si son contrat avec l’éditeur contient ces mentions : leur absence serait déjà un manquement imputable à l’éditeur, et leur présence fixe le périmètre des instructions que l’éditeur ne devait pas dépasser. Le tribunal judiciaire de Paris a eu à trancher une question voisine de qualification, entre responsable, responsable conjoint et sous-traitant, à propos d’un cabinet d’enquête traitant des données pour le compte d’un employeur, et a débouté le demandeur qui ne démontrait pas un traitement excédant le contrat : c’est dire que le contrat, quand il est précis, protège aussi le prestataire (tribunal judiciaire de Paris, 5e chambre 2e section, 30 janvier 2025, RG n° 20/12149).
B. Notifier à la CNIL et informer les personnes, chacun selon son rôle
Le règlement européen impose au responsable du traitement qui apprend une violation de données personnelles d’en notifier la violation à l’autorité de contrôle compétente : en cas de violation de données personnelles, le responsable du traitement doit la notifier à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes (article 33, paragraphe 1, du règlement européen). Le délai court à compter de la prise de connaissance, pas de la survenance de l’attaque : l’entreprise qui reçoit le communiqué de son éditeur fin septembre doit donc dater précisément cette réception, car c’est elle qui fait courir son propre délai. Si la notification n’intervient pas dans les 72 heures, elle doit être accompagnée des motifs du retard, et les informations peuvent être fournies de manière échelonnée.
Symétriquement, le sous-traitant qui découvre l’incident doit prévenir son client : le sous-traitant doit notifier au responsable du traitement toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2, du règlement européen). Le communiqué adressé par l’éditeur à ses clients correspond à cette obligation, et l’entreprise cliente en conserve la preuve : c’est ce document qui établira qu’elle a été informée, quand, et de quoi.
Reste la question la plus délicate : faut-il prévenir les personnes dont les données ont été exposées, c’est-à-dire les clients, fournisseurs et partenaires enregistrés sur la plateforme ? Le règlement ne l’exige que sous condition de gravité : lorsqu’une violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne, le responsable du traitement doit la lui communiquer dans les meilleurs délais (article 34, paragraphe 1, du règlement européen). L’exposition de coordonnées bancaires et d’informations de paiement, combinée à celle de factures détaillant des relations commerciales, pourrait être regardée comme créant un tel risque, puisqu’elle ouvrirait la voie à des escroqueries ciblées ; à l’inverse, l’exposition d’empreintes de mots de passe, inexploitables sans la clé de déchiffrement selon l’éditeur, pourrait être regardée comme atténuant ce risque pour ce seul poste. L’entreprise ne tranche pas seule dans son coin : elle documente son analyse de risque par écrit, car la CNIL peut exiger cette communication après examen, et l’absence de notification comme l’absence d’information devront pouvoir être justifiées. En pratique, beaucoup d’entreprises choisiront d’informer leurs partenaires dans des termes mesurés même en deçà du seuil, parce que le coût réputationnel d’un partenaire qui découvre l’incident par la presse dépasse souvent le coût d’un courrier transparent.
Ce contexte est alourdi par la réforme de la facturation électronique : depuis le 1er septembre 2026, selon 01net, toutes les entreprises soumises à la TVA doivent pouvoir recevoir les factures électroniques de leurs fournisseurs, et le manquement à ces obligations est sanctionné. Le code général des impôts prévoit ainsi : « Le non-respect par l’assujetti de l’obligation d’émission d’une facture sous une forme électronique dans les conditions prévues à l’article 289 bis donne lieu à l’application d’une amende de 50 € par facture, sans que le total des amendes appliquées au titre d’une même année civile puisse être supérieur à 15 000 € » (article 1737, III), et qu’une plateforme agréée qui manquerait à ses obligations de transmission de données s’exposerait à une amende de 50 € par facture, dans la limite de 45 000 € par année civile (article 1737, IV). Le 2 octobre 2026, la dimension institutionnelle de l’incident se serait précisée : l’Agence pour l’informatique financière de l’État, qui opère la plateforme Chorus Pro par laquelle transitent les factures adressées aux administrations publiques, aurait suspendu à titre provisoire les échanges entre ses services et la plateforme, après avoir été informée dans la nuit du 1er au 2 octobre d’un potentiel vol de données affectant son environnement technique. C’est ce qu’indique le texte d’une information sécurité datée du 2 octobre, reproduit par plusieurs observateurs spécialisés ; cette alerte n’apparaît plus sur le portail Chorus Pro lors de la consultation du 14 octobre, ce qui pourrait signaler une reprise des échanges, sans confirmation disponible. Selon ce même texte, l’agence aurait demandé à l’éditeur d’informer immédiatement les entreprises concernées de la suspension et de ses conséquences pratiques, et assuré qu’aucune entreprise ne pourrait être sanctionnée du seul fait des conséquences de cette suspension. Pour l’entreprise qui facture le secteur public via cet outil, la conduite à tenir serait alors la bascule vers un autre canal de transmission et la conservation de la preuve de l’empêchement, afin d’opposer, le cas échéant, cette cause extérieure à tout reproche de retard. Sans préjuger du statut exact de tel ou tel éditeur — plateforme agréée ou simple logiciel, ce que seul le contrat et l’immatriculation diront —, l’entreprise cliente retient l’essentiel : l’incident ne la dispense d’aucune de ses obligations fiscales : « Tout assujetti est tenu de s’assurer qu’une facture est émise, par lui-même, ou en son nom et pour son compte, par son client ou par un tiers » (article 289 du code général des impôts). La continuité de sa facturation doit donc être assurée par un moyen de repli pendant que la plateforme est expertisée, d’autant que l’administration peut mettre en demeure l’assujetti qui manquerait à son obligation de recourir à une plateforme agréée pour la réception de ses factures électroniques « de s’y conformer dans un délai de trois mois » (article 1737, IV bis).
II. Les tiers exposés par ricochet et la seconde vague : faux RIB, fausses factures, vrais recours
La particularité d’une fuite chez un logiciel de facturation, c’est que les victimes ne sont pas seulement les clients de l’éditeur : ce sont aussi les clients de ses clients. Les données des tiers enregistrés — entreprises clientes, fournisseurs, partenaires — ont été consultées, avec leurs coordonnées bancaires et leurs factures. Ces tiers n’ont signé aucun contrat avec l’éditeur, ne reçoivent pas son communiqué, et apprennent l’incident par leur propre fournisseur ou par la presse. C’est pour eux que l’effet domino est le plus dangereux, car ils sont la cible désignée de la seconde vague.
A. La seconde vague : quand la fuite devient une fraude au RIB
Les données volées permettraient de mettre au point des escroqueries particulièrement crédibles, reposant sur de fausses factures ou de faux changements de RIB : c’est la mise en garde que formule 01net à partir de l’incident. Le scénario est connu des tribunaux. Une entreprise reçoit un message annonçant un changement de coordonnées bancaires de son fournisseur ou de son bailleur, effectue un virement sur le nouveau RIB, puis découvre que ce RIB était frauduleux et que son véritable créancier lui réclame toujours paiement. Qui supporte alors la perte ?
La réponse des juges est nuancée et tient en trois temps. D’abord, la banque qui exécute le virement n’est pas responsable du seul fait que l’identifiant était inexact : la loi dispose : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique » et que, si cet identifiant est inexact, le prestataire n’est pas responsable de la mauvaise exécution (article L. 133-21 du code monétaire et financier). L’entreprise qui a elle-même fourni le faux RIB ne peut donc pas exiger de sa banque le remboursement automatique du virement.
Ensuite, la banque reste tenue à un devoir de vigilance portant sur les anomalies apparentes, et à l’obligation de s’efforcer de récupérer les fonds. La cour d’appel de Montpellier l’a illustré le 7 avril 2026 : une société avait viré 20 275,75 euros de loyers trimestriels sur un faux RIB de son bailleur ; la cour a jugé qu’aucune anomalie apparente ne pouvait être décelée — le montant correspondait aux loyers habituels et il est courant pour un bailleur de changer de coordonnées —, que la banque avait été négligente en répondant à sa cliente qu’aucune solution d’annulation n’existait puis en tardant plus d’une semaine à engager la procédure de retour des fonds, mais que la société ne prouvait pas que ce retard lui avait fait perdre une chance de récupérer des fonds virés trois mois plus tôt. Résultat : jugement infirmé, société déboutée de toutes ses demandes contre la banque (cour d’appel de Montpellier, chambre commerciale, 7 avril 2026, RG n° 25/00601). À l’inverse, quand l’anomalie crève les yeux, la banque répond de son aveuglement : le 9 septembre 2026, la cour d’appel de Paris a condamné une banque à verser 30 000 euros à un client qui avait viré plus de 50 000 euros vers un faux compte, parce que l’IBAN transmis comportait côte à côte les logos d’une banque commerciale et de la Banque centrale européenne — une anomalie très aisément décelable pour un employé normalement diligent —, tout en réduisant l’indemnisation pour tenir compte de la négligence de la victime, qui avait poursuivi ses virements malgré une alerte (cour d’appel de Paris, pôle 5 chambre 6, 9 septembre 2026, RG n° 25/10372).
Enfin, l’auteur de la manœuvre, s’il est identifié, s’expose à des poursuites pour escroquerie, définie par la loi comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende (article 313-1 du code pénal). En pratique, le dépôt de plainte reste indispensable : il conditionne souvent la coopération des banques pour la procédure de retour des fonds, et il fige la date de la découverte de la fraude.
Pour le tiers exposé par la fuite du logiciel de facturation, la leçon opérationnelle est claire : n’accepter aucun changement de coordonnées bancaires reçu par simple courriel, rappeler l’interlocuteur sur un numéro connu, vérifier le RIB par un second canal, et dater chaque vérification. L’entreprise cliente du logiciel, de son côté, prévient ses partenaires qu’aucun changement de ses propres coordonnées ne leur sera demandé par courriel pendant la période d’incident : c’est la mesure la plus simple et la plus efficace contre la seconde vague.
B. Se retourner contre l’éditeur : la faute, le partage et le chiffrage
L’entreprise cliente qui a subi l’incident peut-elle obtenir réparation de l’éditeur ? Trois fondements se combinent, et chacun a ses exigences de preuve.
Le premier est contractuel. Le débiteur d’une obligation inexécutée doit réparer : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (article 1231-1 du code civil). L’éditeur qui s’était engagé à héberger les données en sécurité et à informer son client en cas d’incident devra expliquer comment une vulnérabilité d’un outil de génération de PDF a pu conduire jusqu’à sa base de production. La cyberattaque commise par un tiers n’est pas, à elle seule, une force majeure : encore faut-il que l’éditeur démontre que ses mesures de sécurité étaient adaptées. Le règlement européen lui imposait d’ailleurs, comme à tout responsable et sous-traitant, de mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, compte tenu de l’état des connaissances et des risques pour les droits et libertés des personnes (article 32, paragraphe 1, du règlement européen). L’audit technique indépendant, commandé vite et contradictoirement si possible, est ici la pièce maîtresse : il dira si la faille était connue, si un correctif existait, si les clés applicatives auraient dû être cloisonnées.
Le deuxième fondement est celui du droit des données personnelles. toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1, du règlement européen), et le sous-traitant n’est tenu que s’il a méconnu les obligations qui lui incombent spécifiquement ou agi hors des instructions licites du responsable (article 82, paragraphe 2). L’entreprise cliente pourrait ainsi agir contre l’éditeur sur ce fondement pour ses propres préjudices, tandis que ses partenaires, tiers au contrat avec l’éditeur, agiraient plutôt sur le fondement délictuel : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). Dans les deux cas, la règle est la suivante : « Celui qui réclame l’exécution d’une obligation doit la prouver. » (article 1353 du code civil). Il faudra donc démontrer une faute, un dommage et un lien de causalité, et c’est là que les dossiers fragiles se perdent : le simple fait d’avoir figuré dans la base exposée, sans usage frauduleux démontré ni préjudice chiffrable, suffira difficilement à obtenir une indemnisation.
Le troisième enseignement, et le plus constant dans la jurisprudence récente, est le partage des responsabilités. Les juges sanctionnent le prestataire défaillant, mais reprochent aussi au client de ne pas avoir défini ses besoins, exigé des sauvegardes ou vérifié les engagements de sécurité. Dans l’affaire jugée à Reims, la cour a retenu que le prestataire avait manqué à son devoir de conseil et d’information sur la sécurité et la sauvegarde, que ses clauses limitatives étaient inopposables faute d’acceptation, mais aussi que le client aurait dû établir un cahier des charges couvrant ses besoins : partage par moitié, 12 097,59 euros alloués sur 24 195,19 euros de préjudices retenus, avec le détail poste par poste — perte d’exploitation, remise en état, paramétrage, réinstallation, rançon. Transposé à un litige contre un éditeur de logiciel piraté, ce raisonnement suggère que l’entreprise cliente qui n’aurait jamais interrogé son éditeur sur la sécurité, jamais négocié de clause d’information en cas d’incident, ni conservé de sauvegarde externe de ses données de facturation, pourrait se voir opposer sa propre négligence et perdre une partie de sa réparation. D’où l’intérêt, avant tout contentieux, de faire évaluer par un avocat en droit des affaires à Paris rompu aux litiges entre entreprises et prestataires informatiques les chances respectives des griefs et les documents qui les étayent : mise en demeure précise, chiffrage poste par poste avec pièces, analyse du contrat et des conditions opposables.
L’expert-comptable, souvent oublié de la carte des conséquences, est pourtant un acteur exposé : c’est lui qui centralise les factures de ses clients sur ces plateformes, qui devra expliquer à ses propres clients pourquoi leurs données ont circulé, et qui risque d’être mis en cause s’il a recommandé l’outil sans diligence. 01net rappelle d’ailleurs qu’une plateforme collaborative très utilisée par les cabinets comptables français avait déjà été visée quelques semaines plus tôt, avec des noms, adresses, courriels et mots de passe récupérés par les pirates. Le cabinet qui accompagne des entreprises utilisatrices du logiciel piraté vérifie ses propres accès, change ses identifiants, informe ses clients et conserve la trace de ses diligences : sa responsabilité professionnelle pourrait être recherchée s’il restait passif.
En définitive, la cyberattaque contre un logiciel de facturation n’est pas seulement l’affaire de l’éditeur : elle met en mouvement une chaîne où chaque maillon — l’entreprise cliente qui doit figer les preuves et notifier, ses partenaires qui doivent se méfier des changements de RIB, l’expert-comptable qui doit sécuriser ses accès — décide dans l’urgence avec des informations incomplètes. Ceux qui datent leurs diligences, écrivent à leur prestataire, notifient à temps et chiffrent leurs préjudices conservent toutes leurs options, du recours amiable au procès ; ceux qui attendent de savoir si leurs données seront exploitées découvrent, le jour de la seconde vague, que les délais de notification sont passés et que les preuves se sont effacées. À la date de rédaction, aucune responsabilité n’est établie dans cette affaire, les contrats signés priment sur toute analyse générale, et seul le juge, saisi des faits prouvés, dira qui doit réparer quoi.