Le 1er septembre 2026, la facturation électronique franchit une étape décisive : les entreprises assujetties à la TVA doivent pouvoir recevoir une facture dématérialisée. Le même jour, une fuite de données était détectée chez Welyb, le portail que des centaines de cabinets comptables utilisent pour échanger des documents avec leurs clients. La coïncidence a nourri une conclusion expéditive : la réforme aurait déjà été piratée. C’est faux, et c’est justement ce qui rend ce dossier instructif.
Deux semaines plus tard, le 15 septembre, les notifications commencent à arriver dans les boîtes mail des dirigeants. Nom, prénom, adresse postale, téléphone, e-mail, mot de passe haché, raison sociale, SIRET : l’exposition est réelle. Aucune facture, aucun IBAN, aucune donnée de paiement n’a pourtant filtré. Le danger se situe ailleurs, dans l’hameçonnage ciblé et la fraude au faux RIB, au moment précis où toutes les entreprises bousculent leurs habitudes de facturation. Les vérifications qui suivent prennent une heure. Elles évitent des semaines d’ennuis.
En bref
- Fuite de données détectée chez Welyb le 1er septembre 2026, rendue publique le 15 septembre via les notifications envoyées aux personnes concernées.
- Welyb appartient au groupe ISAGRI depuis le 4 juillet 2023. Sa technologie est revendue aux cabinets comptables sous le nom Portail AGIRIS CONNECT.
- Données exposées : identité, coordonnées, SIRET ou SIREN, mot de passe haché. Aucune facture, aucun RIB, aucun moyen de paiement.
- Welyb n’est pas une plateforme agréée. La filiale Cecurity, elle, l’est depuis le 18 décembre 2025.
- Risque prioritaire : hameçonnage ciblé et faux RIB, pas la publication de votre comptabilité.
- Cinq vérifications à mener cette semaine, dont le changement des mots de passe réutilisés et une règle ferme sur les changements de coordonnées bancaires.
Welyb, AGIRIS CONNECT : comprendre la fuite de données avant de paniquer
Welyb est un portail d’échange entre un cabinet comptable et ses clients. On y dépose relevés, justificatifs et pièces comptables, souvent une fois par mois, sans jamais se demander où ces fichiers sont hébergés. Le piratage ne vise donc pas un entrepôt de factures : il touche un outil de circulation, placé en amont du circuit légal.
La société bordelaise a été rachetée le 4 juillet 2023 par le groupe ISAGRI, qui en détient 100 % des actions. À l’époque, le communiqué officiel annonçait près de 450 cabinets d’expertise comptable clients et 80 000 entreprises utilisatrices. Depuis, la technologie a été intégrée à l’offre AGIRIS et commercialisée sous le nom de Portail AGIRIS CONNECT.
Conséquence directe : si votre expert-comptable vous a ouvert un espace AGIRIS, vous pouvez être concerné sans avoir jamais lu le mot Welyb. Ce détail transforme un fichier de contacts en outil de prospection redoutable pour un attaquant.
Un incident détecté le 1er septembre, révélé au public le 15
La fuite de données a été détectée le premier jour de l’obligation de réception des factures électroniques. L’information n’est devenue publique que le 15 septembre, par les notifications adressées aux personnes concernées et relayées par la presse spécialisée. Au 17 septembre 2026, ni Welyb ni AGIRIS n’avaient publié de communiqué public.
D’où la confusion : beaucoup ont déduit que la réforme venait d’être compromise. La simultanéité des dates n’établit pourtant aucun lien technique entre les deux événements. Elle rappelle une réalité que les cabinets comptables connaissent bien : plus les documents circulent, plus les points de contact se multiplient.
Ce qui a fuité et ce qui a été épargné : le périmètre exact
La notification décrit un composant technique interagissant avec la plateforme. Le tableau ci-dessous distingue ce qui est exposé, ce qui ne l’est pas, et le risque associé à chaque ligne.
| Donnée concernée | Statut | Risque principal |
|---|---|---|
| Nom, prénom, adresse postale, téléphone, e-mail | Exposée | Hameçonnage ciblé |
| Raison sociale, SIRET ou SIREN, coordonnées professionnelles | Exposée | Faux fournisseur, faux RIB |
| Mot de passe sous forme hachée, hachage décrit comme fort | Exposé | Réutilisation sur d’autres services |
| Factures et documents comptables | Non concerné | Aucun |
| RIB, IBAN, données de paiement | Non concerné | Aucun |
| Nombre de victimes | Non communiqué | Périmètre impossible à mesurer |
Deux nuances comptent. Aucun mot de passe en clair n’a filtré, ce qui ralentit fortement une tentative de cassage. Et l’absence de coordonnées bancaires élimine le scénario le plus coûteux à court terme.
Reste une inconnue de taille : le nombre de victimes n’a pas été communiqué. Certains articles citent le parc AGIRIS, soit 7 100 cabinets et 87 000 entreprises. Ces chiffres décrivent le portefeuille de l’éditeur, pas le périmètre réel de l’incident. Sans communication détaillée, aucun ordre de grandeur sérieux n’est possible.
Pourquoi une fuite sans facture reste un problème majeur
La protection des données ne se résume pas au contenu d’un fichier. Le danger naît de la combinaison des informations. Nom, prénom, téléphone, e-mail professionnel, raison sociale et SIRET réunis dans un même fichier, plus un élément implicite : vous travaillez avec un cabinet qui utilise cette plateforme.
Il n’en faut pas davantage pour fabriquer un message crédible. L’attaquant connaît votre prénom, votre entreprise, votre numéro SIRET, et il frappe au moment où les procédures changent. C’est la définition même de l’hameçonnage ciblé.
- « Nous avons changé de RIB, réglez vos prochains honoraires sur ce compte. »
- « Validez votre facture électronique en cliquant sur ce lien. »
- « Connectez-vous à votre nouvel espace pour finaliser la réforme. »
Les cabinets ont anticipé le scénario. Dans l’un des e-mails d’alerte envoyés à ses clients, un cabinet précise qu’il n’a pas changé de coordonnées bancaires et qu’il ne démarche jamais par téléphone. Une phrase simple, qui désarme l’essentiel des tentatives.
Le risque prioritaire n’est donc pas la publication de votre comptabilité. C’est la fraude au faux RIB, devenue la première source de pertes chez les services comptables. Quand le système technique tient bon, les attaquants visent les personnes qui l’utilisent.
Plateforme agréée et portail documentaire : deux régimes, deux niveaux d’exigence
Le débat public tourne autour d’une question : les plateformes agréées peuvent-elles être piratées ? Ces opérateurs, immatriculés par la DGFiP, sont les seuls habilités à faire transiter vos factures électroniques. On les appelait PDP, on parle désormais de plateformes agréées.
Les obligations qui pèsent sur elles sont réelles : certification ISO 27001, hébergement des données en Europe, signalement immédiat de tout incident, tests d’intrusion. Depuis le 26 août 2026, Bercy exige en plus la qualification SecNumCloud de l’ANSSI, avec la possibilité de suspendre les échanges d’un opérateur jugé insuffisamment sûr.
Cecurity immatriculée, Welyb hors du périmètre
Les deux listes officielles publiées par la DGFiP ont été passées au crible : Welyb, AGIRIS et ISAGRI n’y figurent pas. Au 10 septembre 2026, elles recensent 149 opérateurs immatriculés définitivement et 14 en attente.
Le groupe ISAGRI y est présent par une autre filiale : Cecurity, immatriculée le 18 décembre 2025, qui revendique ISO 27001 et un hébergement SecNumCloud. C’est elle qui porte la plateforme commercialisée sous le nom eFacture, qu’AGIRIS présente comme « la plateforme agréée de Cecurity.com, une société du groupe ISAGRI ».
Deux filiales, deux régimes, et c’est la moins encadrée qui a fuité. L’État a verrouillé le tuyau central ; il n’a aucune prise sur les outils branchés autour : portail documentaire, GED, logiciel de caisse, simple boîte mail. Choisir une plateforme agréée irréprochable ne dit rien des normes et audits de cybersécurité appliqués au reste de la chaîne. Une chaîne de confiance vaut ce que vaut son maillon le moins surveillé.
Les vérifications indispensables cette semaine : le protocole des cinq verrous
Cinq contrôles couvrent l’essentiel du risque. L’ordre compte : commencez par ce qui est gratuit et rapide.
- Verrou 1 : identifiez votre plateforme agréée. La liste officielle figure sur impots.gouv.fr, dans l’espace Professionnel. Si personne ne vous a fait choisir, posez la question à votre comptable. C’est aussi le moment de vérifier ce qui est réellement obligatoire pour votre structure.
- Verrou 2 : demandez l’inventaire des outils qui contiennent vos données. Plateforme agréée, mais aussi portail documentaire, GED, outil de collecte de pièces. Demandez où elles sont hébergées : la réponse en dit long sur le sérieux du prestataire.
- Verrou 3 : changez de mots de passe. En priorité celui du portail comptable, puis tous ceux que vous aviez réutilisés ailleurs. Un mot de passe haché aujourd’hui peut tomber demain. Activez la double authentification partout où elle est proposée.
- Verrou 4 : imposez une règle sur les coordonnées bancaires. Tout changement de RIB se vérifie par téléphone, sur un numéro déjà connu, jamais celui indiqué dans le message reçu. C’est la mesure la moins chère et la plus efficace.
- Verrou 5 : ne validez jamais une facture depuis un lien reçu par e-mail. Passez par l’adresse que vous tapez vous-même, ou par un favori enregistré.
Le coût de ces cinq gestes frôle zéro. Leur rendement se mesure en dizaines de milliers d’euros évités. Si vous arbitrez encore entre plusieurs prestataires, examinez aussi la gestion documentaire et l’hébergement des fichiers avant de signer.
Quatre incidents en une rentrée : ce que révèle la concentration des données
Welyb n’est pas un cas isolé. Fin juin et fin juillet, la DGFiP a subi deux intrusions, confirmées le 14 août : au moins 678 000 particuliers et professionnels sont concernés, et la CNIL a annoncé un contrôle sur place. L’administration a toutefois précisé le 18 août qu’aucun lien n’existait avec la facturation électronique, les systèmes concernés étant distincts.
En août, une faille a touché les plateformes e-commerce WiziShop et Dropizi. Le fichier a été publié sur un forum le 10 septembre et contiendrait environ 511 000 factures émises entre 2009 et l’été 2026. Le même jour, Brevo signalait un incident d’authentification touchant 138 comptes clients.
Le point commun de ces quatre dossiers n’est pas la facture électronique. C’est la concentration : jamais autant de données d’entreprises françaises n’avaient été rassemblées chez autant d’intermédiaires en même temps. La réforme n’a pas créé ce risque ; elle multiplie les endroits où vos informations transitent.
Calendrier et sanctions : ce que la loi prévoit vraiment
Les approximations circulent vite. L’obligation d’émettre des factures électroniques ne concerne aujourd’hui que les grandes entreprises et les ETI. Pour les PME, les TPE et les micro-entreprises, l’échéance est fixée au 1er septembre 2027.
Côté sanctions, la loi de finances du 19 février 2026 a porté l’amende à 50 euros par facture non conforme, plafonnée à 15 000 euros par année civile. Cette amende ne s’applique pas à une première infraction réparée spontanément ou dans les 30 jours suivant une demande de l’administration. Bercy annonce privilégier l’accompagnement, mais accompagnement ne signifie pas exemption.
Vous avez donc du temps. Servez-vous-en pour cartographier vos données, pas seulement pour comparer des plateformes. Pour resituer les échéances et les obligations, un détour par le décryptage de la réforme de la facturation électronique aide à trier le vrai du bruit.
Demain matin, une action suffit : appelez votre expert-comptable et demandez la liste des outils qui contiennent vos données, hébergement compris. Cette question unique vaut mieux qu’un audit acheté dans l’urgence. Et si vous hésitez encore sur les coffres-forts numériques et la confidentialité des échanges, comparez les garanties avant de confier vos pièces au prochain outil à la mode.
