Comment la nouvelle obligation de facturation numérique de 2026 ouvre grand la porte à la fraude à l'identité d'entreprise
À partir du 1er janvier 2026, toutes les entreprises belges assujetties à la TVA devront traiter leurs transactions B2B nationales via le réseau Peppol. Qui ne bascule pas à temps risque des amendes administratives de 1.500 € à 5.000 €. Les pouvoirs publics promeuvent le système comme un phare de sécurité qui mettra fin à la fraude classique au PDF par e-mail. Une analyse approfondie menée par SalesBridge et SafeByte met cependant à nu une plaie douloureuse : la sécurité du réseau n'est aussi forte que la procédure d'onboarding de l'éditeur de logiciels le plus faible.
Un problème fondamental est que le lien entre une identité numérique (le Peppol ID, souvent le numéro de TVA) et la compétence juridique réelle de l'utilisateur n'est pas toujours strictement imposé lors de l'enregistrement. Le Peppol ID d'une entreprise belge est public (tout est vérifiable sur https://directory.peppol.eu/) et suit un schéma prévisible : le préfixe 0208 suivi du numéro d'entreprise. Si une plateforme de facturation permet à un utilisateur de s'enregistrer avec un numéro d'entreprise quelconque sans preuve directe de mandat (comme une procuration ou une authentification forte via Itsme ou eID), apparaît la possibilité que quelqu'un se fasse passer pour ce qu'il n'est pas.
Cela crée un scénario où un fraudeur externe, ou peut-être même un ex-collaborateur mécontent, peut créer un compte au nom d'un fournisseur légitime. Lorsque ce fraudeur envoie ensuite des factures via le réseau Peppol, celles-ci apparaissent directement dans la comptabilité du client comme des documents « validés ». L'affichage visuel au sein du logiciel comptable suggère un degré d'authenticité qui, en réalité, repose uniquement sur la réussite technique de l'envoi, mais pas sur la validité juridique de l'expéditeur.
L'illusion de l'authenticité
« La recherche d'efficacité dans les processus d'entreprise ne doit jamais nous aveugler sur les lois fondamentales de la logique », affirme Karl Odent, gérant de SalesBridge. « Nous observons actuellement une prolifération de logiciels de facturation gratuits qui, mus par la quête de parts de marché et la réduction des coûts, abaissent dangereusement le seuil d'enregistrement. Nous avons nous-mêmes fait le test : il est déconcertant de simplicité d'activer un compte sous un numéro de TVA quelconque – même celui d'un concurrent ou d'une entreprise de services publics – sans qu'une preuve concluante de mandat ne soit demandée. »
En pratique, cela signifie qu'un fraudeur peut envoyer des factures qui atterrissent directement, chez le destinataire, dans le flux « accounts payable ». Parce que le document provient « du système de confiance », l'intuition humaine est désactivée. La vigilance que nous avons bâtie au fil des ans face aux adresses e-mail étranges ou aux mises en page bâclées des PDF s'évanouit devant un message XML structuré, soigneusement présenté par notre propre logiciel comme une créance légitime.
Un réseau fermé aux portes ouvertes
Arthur, spécialiste en cybersécurité chez SafeByte, souligne que le véritable maillon faible de Peppol se situe à la porte d'accès au réseau : « Peppol est présenté comme un réseau sûr et fermé, mais en pratique la confiance est déléguée à des centaines de prestataires de services. Lorsque les éditeurs de logiciels n'imposent pas strictement, lors de l'onboarding, qu'un utilisateur soit juridiquement habilité à agir au nom d'une entreprise, une identité Peppol techniquement valide peut tomber entre les mains d'une partie non autorisée. »
Selon SafeByte, le problème ne devient réellement préoccupant qu'une fois cette identité active. Les factures sont livrées sans vérification supplémentaire et intégrées automatiquement aux processus comptables et d'approbation chez le destinataire. La validation technique du message crée alors une autorité qui ne correspond pas nécessairement à la réalité juridique.
Un moment charnière propice à l'opportunisme
Les deux entrepreneurs font remarquer que l'ignorance actuelle du marché crée un vide dangereux. De nombreux petits entrepreneurs ne sont pas encore prêts et opteront, dans la précipitation du passage à la nouvelle année, pour la première solution « gratuite » venue. C'est précisément dans cette courbe d'apprentissage que les fraudeurs saisissent leur chance.
SalesBridge et SafeByte conseillent donc aux entrepreneurs :
Privilégiez la qualité au gratuit : Sélectionnez un fournisseur de logiciel qui exige un lien strict avec l'eID, Itsme® ou les mandats officiels dans la Banque-Carrefour des Entreprises (BCE), ou qui demande au moins une preuve de paiement valide en première ligne de légitimation.
Conservez la mesure humaine : Ne vous fiez jamais aveuglément à une boîte de réception numérique. Implémentez des contrôles internes stricts comme le « three-way matching ».
Demandez des garanties : Engagez le dialogue avec votre partenaire IT sur la façon dont il garantit l'authenticité des flux Peppol entrants.
À PROPOS DE SALESBRIDGE SalesBridge est un expert des systèmes de CRM et de Marketing Automation. Avec un esprit analytique, SalesBridge aide les entrepreneurs à débarrasser le chaos d'Excel et d'Outlook pour le remplacer par des processus rationalisés où la beauté, la transparence et la force de frappe commerciale sont au cœur. Site web :www.salesbridge.be
À PROPOS DE SAFEBYTE SafeByte est une start-up belge et un spécialiste de la cybersécurité qui accompagne les PME dans le durcissement de leur infrastructure numérique. Au moyen de tests d'intrusion et de formations à la sensibilisation à la sécurité, ils arment l'entrepreneur flamand contre les menaces toujours plus complexes de l'ère numérique.
Site web :www.safebyte.be
Karl Odent
Arthur Coudron
