Welyb et AGIRIS : une faille expose les clients des cabinets

Un cabinet d’expertise comptable détient les coordonnées, le SIRET et souvent les pièces administratives de centaines d’entreprises. Il ne les héberge presque jamais lui-même.

Le 1er septembre 2026, une faille a été détectée sur un composant technique interagissant avec la plateforme Welyb, utilisée par des cabinets pour échanger des documents avec leurs clients. L’information a été rendue publique le 15 septembre.

Ce qui est établi

Welyb est une plateforme française de gestion électronique de documents et de collaboration destinée aux cabinets comptables. Elle centralise les échanges de pièces entre le professionnel et son client dans un portail commun. L’entreprise a rejoint le groupe ISAGRI en 2023, et sa technologie alimente le portail AGIRIS CONNECT.

L’incident concerne donc deux marques pour un même socle technique. C’est ce qui le rend difficile à cadrer pour les cabinets : beaucoup utilisent AGIRIS sans savoir que Welyb se trouve derrière.

Les données susceptibles d’avoir été exposées, telles qu’elles sont décrites : nom, prénom, adresse postale, numéro de téléphone, adresse électronique, et pour les entreprises la raison sociale, le SIRET ou le SIREN, l’adresse et le téléphone. Les mots de passe étaient protégés par un procédé de hachage fort et n’étaient pas stockés en clair.

Une déclaration de violation a été déposée auprès de la CNIL. Les accès non autorisés ont été interrompus après la découverte, et aucune intrusion malveillante aux comptes utilisateurs n’a été identifiée à ce stade.

Ce qui ne l’est pas

La nature exacte de la faille n’est pas publique. Faille applicative, interface de programmation mal protégée, service d’interconnexion : rien ne permet de trancher. Ce point compte, parce qu’il détermine si d’autres composants du même éditeur pourraient être concernés.

Le nombre de cabinets affectés n’est pas communiqué. Le nombre de personnes non plus. On lit parfois qu’AGIRIS équipe environ 1 700 cabinets : ce chiffre décrit un parc installé, pas un périmètre d’incident. Le reprendre comme mesure de la fuite serait une faute.

Enfin, l’éditeur indique que rien ne laisse penser que des factures électroniques, des documents comptables ou des données bancaires ont été exposés. C’est une absence d’indice, ce n’est pas une garantie.

Pourquoi un fichier « sans donnée sensible » est quand même dangereux

Un attaquant qui obtient la liste des clients d’un cabinet comptable, avec raison sociale, SIRET, adresse et contact, tient le matériau exact de la fraude au faux fournisseur et de la fraude au président.

Le scénario n’a rien d’hypothétique. Cybermalveillance.gouv.fr décrit la fraude au faux fournisseur comme une escroquerie visant à faire modifier des coordonnées bancaires au profit de l’attaquant. Elle réussit quand le message paraît venir de quelqu’un qui connaît le dossier.

Or c’est exactement ce que fournit un fichier de ce type. Un courriel qui cite votre expert-comptable par son nom, votre SIRET et la période comptable en cours ne ressemble pas à une tentative d’escroquerie. Il ressemble à votre comptabilité.

L’échelle change avec les modèles de langage. Écrire trois cents relances personnalisées prenait une semaine à un fraudeur ; cela lui prend un après-midi, sans faute d’accord et dans le registre professionnel attendu. Le mécanisme est décrit en détail dans notre article sur les données fiscales volées à la DGFiP.

La période aggrave la chose. La généralisation de la facturation électronique met en circulation, en 2026, quantité de messages légitimes demandant aux entreprises de mettre à jour leurs coordonnées de facturation. Nous avions décrit ce terrain favorable dans facture électronique 2026 : ce que change la sécurité. Un faux message a rarement eu autant de vrais frères.

Si vous êtes le cabinet

Le cabinet est responsable du traitement au sens de l’article 4, point 7, du RGPD. L’éditeur est sous-traitant au sens du point 8. L’article 33, paragraphe 2, oblige le sous-traitant à prévenir le responsable dans les meilleurs délais ; la notification à la CNIL sous 72 heures et, si le risque est élevé, l’information des personnes concernées, restent à la charge du cabinet au titre des articles 33 et 34. Cette répartition est détaillée dans notre article sur le prestataire, maillon faible.

Quatre demandes écrites à adresser à votre éditeur, cette semaine :

• nos données figurent-elles dans le périmètre de l’incident, et lesquelles ?
• quelle est la fenêtre d’exposition, entre la mise en service du composant et sa correction ?
• quels journaux d’accès pouvez-vous nous transmettre pour notre portail ?
• la déclaration déposée à la CNIL couvre-t-elle nos clients, ou devons-nous déposer la nôtre ?

La dernière question est celle qu’on oublie. Une déclaration faite par l’éditeur en son nom ne vous dispense pas de la vôtre si vous êtes responsable du traitement.

Si vous êtes le client du cabinet

Vous ne pouvez rien faire sur la plateforme. Vous pouvez faire quelque chose sur vos paiements.

Une règle, une seule, et elle n’est pas technique : aucun changement de coordonnées bancaires n’est appliqué sur la base d’un courriel. Le contrôle se fait par un appel sur un numéro que vous détenez déjà, pas sur celui qui figure dans le message. Écrivez-la dans votre procédure de règlement, et faites-la signer par la personne qui saisit les virements.

Deuxième réflexe : si un mot de passe du portail documentaire est réutilisé ailleurs, changez-le partout. Le hachage fort protège, il ne rend pas la réutilisation raisonnable.

Reconnaître une demande de virement frauduleuse, c’est l’objet de notre journée Cybersécurité pour les dirigeants et managers ; nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Une question à poser en réunion d’associés : savez-vous nommer, de mémoire, tous les prestataires qui hébergent des données de vos clients ?

Sources

• Cyberattaque.org, « Welyb (AGIRIS) : une faille expose les données de clients de cabinets comptables », 15 septembre 2026 : date de détection du 1er septembre, composant technique, catégories de données, hachage fort, déclaration CNIL, absence d’intrusion identifiée aux comptes.
• FrenchBreaches, alerte « Welyb (AGIRIS) », statut « Confirmée », 15 septembre 2026.
• La Profession Comptable, « Welyb rejoint le Groupe ISAGRI », sur l’intégration de 2023 et le lien avec le portail AGIRIS CONNECT.
• RGPD (règlement (UE) 2016/679), articles 4, 33 et 34.
• Cybermalveillance.gouv.fr, fiche « Fraude au faux fournisseur », consultée le 16 septembre 2026.
• Welyb, site welyb.fr, consulté le 16 septembre 2026, pour la description de la plateforme.
• Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.