Le 17 septembre 2026, l'éditeur français Zenfirst — logiciel de trésorerie et de facturation pour entreprises et indépendants — a été visé par une revendication de violation de données signée par un attaquant se nommant « Alduin ». La revendication portait sur les données d'environ 4 400 utilisateurs et prospects, ainsi que sur des factures entières : noms, adresses e-mail, numéros de téléphone, informations d'entreprise, identifiants Stripe et contenu détaillé des documents comptables. Selon les premiers éléments techniques, l'accès aurait été rendu possible par la compromission d'un compte sans authentification à deux facteurs (source : fuitesinfos.fr, 17 septembre 2026).
Pourquoi cet incident arrive maintenant
Ce n'est pas un hasard de calendrier. Depuis le 1er septembre 2026, toutes les entreprises assujetties à la TVA en France ont l'obligation de recevoir des factures électroniques, quelle que soit leur taille. Pour les grandes entreprises et les entreprises de taille intermédiaire, l'obligation d'émettre s'ajoute à l'obligation de recevoir (source : impots.gouv.fr, 2026). Cette réforme, portée par la Direction générale des finances publiques, a conduit des milliers d'entreprises à choisir une Plateforme de Dématérialisation Partenaire, ou PDP, immatriculée par l'administration fiscale.
Les PDP sont désormais des concentrateurs de données financières d'une sensibilité inédite. Elles ne stockent plus seulement des identifiants clients : elles hébergent des flux de facturation complets, avec montants, noms de fournisseurs, coordonnées, informations de paiement et références bancaires. Un éditeur comme Zenfirst, même s'il n'est pas immatriculé PDP au sens strict, traite un volume de données qui appartient à la même catégorie fonctionnelle. La réforme a mécaniquement élevé la valeur des données hébergées par ces acteurs, et donc leur attractivité pour des attaquants.
Ce que l'incident révèle sur vos obligations RGPD
Pour les entreprises utilisant Zenfirst, la question n'est pas seulement de savoir si leurs données ont été exposées. Elle est de comprendre leur position dans la chaîne de responsabilité. Dans la relation typique entre un éditeur de logiciel de gestion et ses clients, l'éditeur agit en qualité de sous-traitant au sens de l'article 28 du RGPD : il traite des données personnelles pour le compte du responsable de traitement, qui est l'entreprise cliente.
Si Zenfirst est votre sous-traitant, deux obligations vous incombent directement. La première est de vérifier si votre contrat avec Zenfirst contient les clauses de sous-traitance exigées par l'article 28 : obligation de notification d'incident dans un délai permettant au responsable de traitement d'honorer sa propre obligation de notification à la CNIL dans les 72 heures suivant la prise de connaissance. La seconde est de déterminer si les données exposées concernent vos propres clients ou salariés, auquel cas vous êtes potentiellement en situation de violation de données à notifier à la CNIL et, si le risque pour les personnes est élevé, à communiquer aux personnes concernées.
La notification d'un incident impliquant un sous-traitant est un cas fréquent de violation du délai de 72 heures : le responsable de traitement attend que le sous-traitant lui confirme l'étendue réelle de la fuite avant d'agir, et le délai expire pendant cette attente. La coordination entre vos obligations RGPD et vos obligations NIS2 dans ce type de scénario est développée dans l'article sur la coordination des délais de notification en cas d'incident commun.
L'angle NIS2 : votre PDP est-elle une entité importante ?
La transposition de NIS2 en droit français, attendue via la Loi Résilience, place les opérateurs de services numériques essentiels dans le champ des entités importantes ou essentielles, selon leur taille et leur secteur. Un éditeur de logiciel de facturation ou une PDP qui traite des flux financiers pour des milliers d'entreprises peut relever de cette catégorie, en particulier s'il est fournisseur de services d'informatique en nuage ou de gestion de données pour des entités elles-mêmes soumises à NIS2.
Si votre prestataire PDP est une entité soumise à NIS2, il doit notifier l'ANSSI de tout incident significatif dans les 24 heures, et vous en informer dans un délai permettant votre propre gestion de l'incident. Si ce n'est pas le cas, vous ne pouvez pas vous appuyer sur lui pour déclencher votre processus de réponse à incident. Vous devez alors vous appuyer sur votre propre capacité de détection, ce qui suppose que vous ayez accès en temps réel aux journaux d'activité de votre compte sur la plateforme.
Ce que l'absence de MFA révèle sur votre chaîne d'approvisionnement
Le vecteur technique identifié dans l'incident Zenfirst est simple : un compte sans authentification à deux facteurs. C'est le même vecteur que celui documenté par la CNIL dans sa décision du 3 septembre 2026 contre l'Hôpital privé de la Loire, sanctionné à hauteur de 500 000 euros pour absence de MFA sur des accès distants à des données de patients. Le parallèle est instructif : l'absence de MFA n'est plus un risque résiduel, c'est une faute caractérisée aux yeux des autorités de contrôle.
Pour vos prestataires de gestion financière et vos PDP, votre questionnaire d'évaluation fournisseur doit désormais inclure trois points précis. Premièrement, la couverture MFA : tous les comptes ayant accès à vos données sont-ils protégés par une authentification forte, y compris les comptes de service et les accès d'administration ? Deuxièmement, la journalisation : les accès à vos données sont-ils consignés dans des journaux horodatés et conservés pendant une durée suffisante pour permettre une investigation post-incident ? Troisièmement, la notification contractuelle : votre contrat prévoit-il une obligation de vous notifier de tout incident de sécurité dans un délai précis, inférieur aux 72 heures de la CNIL ?
Trois actions à mener avant la fin du trimestre
La réforme de la facturation électronique n'est pas encore stabilisée. Les premières semaines d'application révèlent les vulnérabilités des acteurs les moins préparés, et les incidents comme celui de Zenfirst vont se multiplier à mesure que la valeur des données hébergées augmente.
Première action : révisez votre registre des sous-traitants. Intégrez-y toutes les plateformes de gestion financière et de facturation que vous avez adoptées depuis le 1er janvier 2026. Pour chacune, vérifiez l'existence et le contenu de la convention de sous-traitance RGPD. Une plateforme adoptée en urgence pour répondre à l'obligation de réception des factures électroniques n'est pas nécessairement couverte par votre DPA existant.
Deuxième action : vérifiez la couverture MFA chez vos prestataires de gestion financière. Ne vous contentez pas de la politique déclarée : demandez une preuve de déploiement. Un éditeur qui ne peut pas vous fournir un rapport de couverture MFA par type de compte ne gère pas ce risque sérieusement.
Troisième action : testez votre capacité de notification. Si un de vos sous-traitants vous contacte aujourd'hui pour vous signaler une violation de données impliquant vos factures clients, combien de temps vous faut-il pour déterminer quelles personnes sont concernées, évaluer le risque et préparer une notification à la CNIL ? Si la réponse dépasse 48 heures, vous ne pourrez pas tenir le délai légal de 72 heures.
La réforme de la facturation électronique a créé une nouvelle surface d'exposition. Les PDP et les éditeurs de logiciels financiers sont désormais des maillons critiques de votre chaîne de traitement des données. Les traiter comme tels dans votre programme de conformité n'est plus optionnel.