Début octobre 2025, le chercheur en cybersécurité Jeremiah Fowler a découvert une base de données non protégée liée à Invoicely, une plateforme de facturation et d’émission de factures basée à Vienne, utilisée par plus de 250 000 entreprises dans le monde.
Le dépôt exposé contenait 178 519 fichiers, dont des factures, des chèques numérisés, des documents fiscaux et des reçus — chacun contenant des informations personnelles et financières sensibles.
« La base de données exposée publiquement n’était protégée ni par un mot de passe ni par un chiffrement », a déclaré Fowler.
Les faux pas des SaaS mettent en lumière les défis persistants de la sécurité du cloud
L’incident souligne les risques persistants associés aux mauvaises configurations du cloud et aux défaillances de la gouvernance des données dans le secteur des logiciels en tant que service (SaaS).
Les enregistrements exposés contenaient des informations permettant d’identifier personnellement les individus (PII) ainsi que des données de paiement susceptibles d’être exploitées à des fins d’usurpation d’identité, de fraude à la facture ou d’attaques d’hameçonnage ciblées.
La plateforme d’Invoicely fournit des outils cloud destinés à automatiser la facturation, les paiements récurrents et le suivi des dépenses.
Compte tenu de son adoption massive par les petites entreprises, les travailleurs indépendants et les grandes sociétés, l’exposition d’Invoicely soulève des inquiétudes quant au niveau de sécurité des fournisseurs de SaaS qui traitent des données sensibles sur leurs clients et leurs finances.
Un compartiment S3 non sécurisé à l’origine de l’exposition des données d’Invoicely
La fuite de données provenait d’un compartiment Amazon S3 non sécurisé, mal configuré avec des autorisations « public-read » — ce qui signifie que toute personne connaissant la structure de l’URL pouvait accéder à son contenu.
Aucune authentification ni aucun chiffrement ne protégeait les fichiers, qui étaient donc vulnérables à de simples outils d’énumération tels qu’AWSBucketFinder.
Le chercheur a noté que le nom du compartiment, invoicely_backup_public, laissait penser qu’il pouvait être destiné à des sauvegardes internes ou à une migration.
Cependant, l’absence de contrôles de sécurité le rendait totalement accessible depuis l’Internet public.
Selon Fowler, « On ignore également combien de temps la base de données a été exposée avant que je la découvre et si quelqu’un d’autre a pu y accéder. Seul un audit interne à des fins d’investigation pourrait identifier d’autres accès ou une éventuelle activité suspecte. »
Bien qu’aucune preuve d’exploitation n’ait été rendue publique à la date de publication de cet article, les dégâts potentiels sont considérables. La masse de données exposées pourrait permettre de falsifier des factures, de déposer de fausses déclarations fiscales ou de mener des attaques d’ingénierie sociale s’appuyant sur des informations réelles de transaction.
Bâtir des fondations plus solides pour la sécurité du cloud
Pour réduire la probabilité et l’impact de futures expositions de données, les organisations devraient adopter une stratégie de sécurité à plusieurs niveaux combinant contrôles techniques, surveillance proactive et culture de la responsabilité.
- Renforcer la gouvernance du cloud : Appliquer des politiques de stockage strictes, utiliser des outils de gestion de la posture de sécurité cloud (CSPM) pour détecter les mauvaises configurations et auditer les contrôles d’accès à des fins de conformité.
- Protéger et limiter les données : Chiffrer les données en transit et au repos, réduire leur durée de conservation et déployer des outils de prévention des pertes de données (DLP) pour empêcher toute exposition non autorisée.
- Resserrer les contrôles d’identité et d’accès : Appliquer le modèle Zero Trust, exiger l’authentification multifacteur et imposer le principe du moindre privilège au moyen d’un contrôle d’accès basé sur les rôles (RBAC) ou sur les attributs (ABAC).
- Intégrer la sécurité dans DevOps: Intégrer des contrôles de sécurité aux pipelines IaC et CI/CD, avec des tests automatisés réguliers de détection des vulnérabilités.
- Améliorer la réponse aux incidents et la supervision des fournisseurs : Maintenir un plan de réponse aux incidents, surveiller les anomalies et imposer aux fournisseurs des normes de sécurité équivalentes.
- Promouvoir une culture axée sur la sécurité : Assurer une formation continue à la sécurité et encourager la divulgation responsable par l’intermédiaire de programmes de chasse aux bugs.
En mettant en œuvre ces mesures, les organisations peuvent réduire leur exposition aux mauvaises configurations du cloud, aux fuites de données et aux menaces internes.
Concilier évolutivité et sécurité à l’ère du cloud
Alors que les organisations s’appuient de plus en plus sur les plateformes SaaS, la course au déploiement de services évolutifs prend souvent le pas sur une gestion sécurisée des configurations.
Selon l’enquête 2024 de l’AFP sur la fraude et les contrôles des paiements, 80 % des organisations ont été confrontées à des tentatives de fraude à la facture en 2023 — soit une hausse de 15 points de pourcentage par rapport aux 65 % de 2022, pour atteindre 80 % en 2023.
Les expositions comme celle d’Invoicely fournissent aux acteurs malveillants la boîte à outils idéale pour lancer des campagnes de fraude convaincantes, amplifiant les risques dans l’ensemble de l’écosystème financier.
Bien qu’Invoicely ait rapidement réagi pour sécuriser ses systèmes, l’événement fait figure d’avertissement pour tous les fournisseurs de services cloud : la visibilité des données ne doit jamais se faire au détriment de la sécurité.
À mesure que l’adoption du cloud s’accélère, une seule sauvegarde mal configurée peut exposer des milliers de clients à des risques d’usurpation d’identité et de fraude financière.
quels fournisseurs de stockage cloud offrent la fiabilité, la sécurité et les fonctionnalités de conformité nécessaires pour protéger leurs données.