Il n’était pas indispensable d’être un ancien élève de Polytechnique pour évaluer comme grave le risque que le projet de la facturation électronique (Factur-X, en France), fait peser sur les données les plus stratégiques des entreprises, celles de leurs clients et du détail de leur facturation. De nombreux analystes l’avaient signalés, dans l’indifférence complète du polituque.
Et le premier piratage n’a pas tardé : le 1° septembre dernier, c’est à dire le premier jour de l’obligation d’affiliation au système Factur-X, un premier piratage a été signalé.
Il s’agit d’un accès frauduleux au portail AGIRIS Connect, édité par le groupe ISAGRI, connu également sous le nom de Welyb. On remarquera au passage le cynisme de cette dénomination commerciale, Welyb, très proche de Vélib, à la consonnance évoquant la liberté, alors qu’il ne s’agit que d’un dispositif de surveillance de masse.
AGIRIS Connect ou Welyb, en réalité, n’est pas une PA au sens strict, mais une passerelle qui centralise les documents comptables de plusieurs plateformes utilisées par les comptables. C’est un outil majeur du groupe ISAGRI, acteur également majeur du secteur.
D’après les informations disponibles, le piratage a compromis des données personnelles des entreprises et des personnes : identification, immatriculation, adresse, téléphone et mail, informations légales. Les données de facturation n’auraient pas été piratées, mais la solidité de cette affirmation prête à débat. Des codes de connexion et mots de passe ont été également piratés, mais ils étaient stockés sous forme cryptée (hachage), ce qui rend leur décryptage plus difficile. Les personnes et entreprises concernées peuvent donc s’attendre, dans les jours qui viennent, à des tentatives d’escroqueries crédibles.
Alors que ce 1° septembre, premier jour de la véritable révolution que constitue Factur-X devait être un jour aussi faste que celui du lancement du Titanic, l’information sur ce piratage n’a été pas repris par les canaux d’information majeurs, mais seuls quelques sites indépendants, et les réseaux sociaux s’en sont fait écho.
Le risque technique de piratage avait cependant été anticipé par le législateur, puisque la loi dispense les entreprises liées à l’armement de l’affiliation à une PA. Cela laisse supposer que c’est bien en toute connaissance de cause que le projet a été mis en place, dans l’indifférence au risque pesant sur tout le reste du tissus économique. Rappelons par ailleurs que, bien avant le risque technique, c’est dans son principe que le projet factur-x est inacceptable pour beaucoup de chefs d’entreprises, par la disproportion de moyens en face du but prétendument recherché.