Depuis le 1er septembre 2026, la réforme de la facturation électronique est entrée en vigueur en France. Toutes les entreprises assujetties à la TVA doivent désormais être en mesure de recevoir des factures électroniques, tandis que les grandes entreprises et les ETI doivent également les émettre sous ce format. Les PME et micro-entreprises rejoindront ce dispositif à compter du 1er septembre 2027. Derrière cette évolution réglementaire se cache également un véritable enjeu de cybersécurité.
Désormais, les factures B2B concernées transitent par des plateformes agréées, directement ou par l'intermédiaire de solutions compatibles.
Pour les entreprises, cela signifie une multiplication potentielle des interactions : ERP / logiciel comptable → API ou connecteur → plateforme agréée → plateforme du destinataire → SI du client ou fournisseur
À ces étapes s'ajoute la transmission de données à l'administration fiscale. Les plateformes agréées envoient au concentrateur de la DGFiP les données des factures échangées entre entreprises. Pour les opérations hors du périmètre de la facture électronique (ventes aux particuliers, échanges avec l'international), c'est le e-reporting qui prend le relais : les entreprises transmettent les données de transaction et, pour certaines prestations, les données de paiement.
La facture devient donc un flux de données intégré au SI. Sa sécurité dépend de l'ensemble de la chaîne : identités, postes de travail, applications, API, infrastructures et prestataires. Une plateforme sécurisée ne suffit pas si le compte qui y accède est compromis ou si l'ERP qui l'alimente est vulnérable.
Voici six points de vigilance cyber à prendre en compte pour sécuriser ces nouveaux usages.
1. Comptes de facturation
La première surface d'attaque concerne les identités numériques. Un compte compromis donnant accès à un logiciel comptable ou à une plateforme de facturation peut exposer des informations utiles à un attaquant : clients et fournisseurs, montants facturés, coordonnées bancaires, historique des transactions ou informations commerciales. Ces données peuvent ensuite servir à préparer des attaques très crédibles.
La sécurisation des accès est essentielle : authentification multifacteur, comptes nominatifs, moindre privilège, contrôle des comptes à privilèges et revue régulière des habilitations. Les comptes techniques et comptes de service utilisés pour connecter les différentes solutions doivent faire l'objet d'une vigilance accrue.
2. Fraude au changement de RIB
La généralisation de la facturation électronique peut créer un faux sentiment de sécurité : une facture reçue par le circuit attendu semble légitime. Or, la sécurisation du canal de transmission ne garantit pas l'intégrité des données saisies en amont.
Un attaquant ayant obtenu un accès au SI d'un fournisseur, à l'ERP ou à certains comptes peut chercher à détourner le processus avant même l'émission de la facture. Les procédures de contrôle restent indispensables. Par exemple, un changement de coordonnées bancaires doit faire l'objet d'une validation indépendante auprès du fournisseur via un canal déjà connu.
3. API et connecteurs
L'automatisation de la facturation repose sur l'interconnexion entre différents systèmes.
ERP, logiciels comptables, solutions métiers et plateformes peuvent communiquer via des API et des connecteurs, qui deviennent des actifs sensibles.
Une clé API exposée, un token compromis, un compte de service disposant de droits excessifs ou une API mal configurée peuvent permettre à un attaquant d'accéder à des données financières ou d'interagir avec les systèmes concernés.
La sécurisation de cette nouvelle chaîne nécessite la mise en place de bonnes pratiques telles que :
- l'inventaire des API et des connecteurs ;
- une gestion sécurisée des secrets et des tokens ;
- des droits limités au strict nécessaire ;
- le chiffrement des communications ;
- la journalisation des accès et opérations ;
- des tests de sécurité réguliers ;
- la surveillance des comportements inhabituels.
L'objectif est simple : chaque nouvelle interconnexion avec le SI doit s'intégrer à la politique globale cyber de l'entreprise.
L'analyse de Guillaume, pentester chez ITrust
Dans le cadre de la facturation électronique, quelles sont les principales faiblesses de sécurité que vous cherchez à identifier lors d'un audit ?
Notre attention se porte sur la sécurité des API et des comptes techniques qui assurent les échanges entre les différents systèmes. Une mauvaise gestion des droits, des clés d'authentification insuffisamment protégées ou des interfaces exposées peuvent permettre à un attaquant d'accéder à des données financières sensibles, voire de manipuler certains flux.
Lors de nos audits, nous cherchons notamment à identifier les défauts d'authentification et d'autorisation, les erreurs de configuration et les vulnérabilités exploitables. L'objectif est de vérifier qu'un compte ou une application compromise ne puisse pas servir de point d'entrée vers l'ensemble du système d'information.
4. Nouveaux scénarios de phishing
La facturation électronique réunit plusieurs ingrédients intéressants pour le phishing : nouveauté du dispositif, échéances réglementaires, multiplicité des plateformes et méconnaissance des utilisateurs.
Les collaborateurs peuvent ainsi recevoir des messages malveillants tels que :
« Votre facture électronique est disponible »
« Votre facture a été rejetée »
« Votre entreprise doit activer sa plateforme »
« Votre compte de facturation doit être mis à jour »
« Une action est requise avant la prochaine échéance réglementaire »
L'objectif est de conduire la victime vers une fausse page d'authentification afin de récupérer ses identifiants, d'installer un logiciel espion ou de compromettre son environnement de travail.
Il peut être nécessaire pour les entreprises d'accompagner le déploiement de la facturation électronique avec une campagne de sensibilisation auprès des collaborateurs : quelle plateforme utilise l'entreprise ? Quels emails peut-elle réellement envoyer ? Quel est le circuit interne d'une facture ? À qui signaler un message suspect ?
5. Impacts sur la supply chain
La facturation électronique renforce les interdépendances entre entreprises et prestataires : ERP, éditeur comptable, intégrateur, plateforme agréée, hébergeur ou connecteur peuvent intervenir dans la chaîne.
Une vulnérabilité chez un tiers peut provoquer des impacts en cascade au sein de toute la chaîne.
L'inscription d'une plateforme sur la liste des plateformes agréées constitue un premier prérequis. Mais l'analyse du risque fournisseur peut inclure d'autres critères : localisation et hébergement des données, chiffrement, authentification, certifications, gestion des vulnérabilités, capacité de journalisation, politique de sauvegarde, PCA/PRA, gestion des incidents, sous-traitants ou encore réversibilité.
La question n'est plus seulement « mon prestataire est-il conforme ? », mais surtout « comment s'intègre-t-il dans ma gestion des risques ? »
6. Détection de comportements inhabituels
Selon les capacités proposées par les solutions utilisées, certains événements peuvent être particulièrement intéressants à superviser : connexion inhabituelle à un compte financier, élévation de privilèges, modification d'un compte fournisseur, téléchargement massif de factures, changement de configuration, volume anormal d'appels API, utilisation inhabituelle d'un compte de service ou succession d'échecs d'authentification…
Corrélés avec les événements du système d'information de l'entreprise, ces signaux peuvent permettre à un service tel que le SOC d'identifier un comportement suspect. L'enjeu consiste à passer d'une logique de protection de la plateforme à une logique de surveillance de toute la chaîne de confiance.
La facturation électronique apporte de réels avantages (automatisation, standardisation et traçabilité des échanges entre entités) mais elle modifie la surface d'attaque de l'entreprise. Ce sujet ne doit donc pas être traité uniquement comme un projet comptable ou réglementaire.
Pour les équipes cyber, l'entrée en vigueur de la réforme constitue une bonne occasion de revoir la cartographie des flux financiers, les droits d'accès, la sécurité des interfaces et la capacité de détection autour de ces nouveaux usages.
Car derrière l'enjeu de conformité se trouve une question beaucoup plus familière aux RSSI : qui peut accéder à quoi, comment, et sommes-nous capables de détecter rapidement un comportement anormal ?
L'analyse de Ahmed, Responsable SOC
Si un attaquant parvient à compromettre un compte technique ou une API utilisée pour la facturation, quels signaux peuvent permettre à un SOC de détecter cette activité ?
Une compromission ne se traduit pas nécessairement par une alerte évidente. Un attaquant utilisant des identifiants légitimes peut interagir avec les applications sans déclencher les mécanismes de sécurité traditionnels.
C'est pourquoi nous cherchons à identifier les écarts par rapport aux comportements habituels : un compte de service qui se connecte depuis une origine inhabituelle, une augmentation soudaine du volume d'appels API, des accès à des données normalement non consultées ou encore des modifications de privilèges.
Pris isolément, ces événements ne sont pas forcément suspects. C'est leur corrélation avec d'autres signaux du système d'information et leur mise en contexte qui permettent de qualifier une menace.
Avec une plateforme SIEM/XDR comme Reveelium, notre SOC peut exploiter ces informations pour détecter des comportements anormaux et accélérer les investigations.
| Partie de l'article | Source |
| Calendrier / fonctionnement | Ministère de l'Économie |
| Rôle des plateformes | DGFiP – Plateformes agréées |
| Sécurité des plateformes | DGFiP – Liste des plateformes agréées |
| API / interconnexions | DGFiP – Spécifications techniques |
| Phishing | Cybermalveillance.gouv.fr – Hameçonnage |
| Faux RIB / fraude fournisseur | Cybermalveillance.gouv.fr – FOVI |
| MFA / supervision | ANSSI – MFA + ANSSI – Journalisation |