VACAF (CAF) : incident reconnu par la Cnaf, 1,39 million de lignes revendiquées avec des données de familles et d'enfants

Le vendredi 9 octobre 2026 au soir, Cyberattaque.org, Fuites Infos et FrenchBreaches ont relevé la mise en vente, sur un forum cybercriminel, de fichiers présentés comme issus de VACAF, le service par lequel les Caisses d’allocations familiales gèrent leurs aides aux vacances (aides au départ en famille, financement des séjours d’enfants et Pass Colo). Le lendemain, samedi 10 octobre, la Cnaf a publié un communiqué dans lequel elle indique avoir « identifié un incident de cybersécurité » touchant ce service et précise qu’« une fuite concernant les données des bénéficiaires de ce dispositif a été signalée ». Elle reconnaît donc l’incident et le signalement d’une fuite, sans confirmer elle-même ni le volume ni le contenu des fichiers mis en vente. Selon ce même communiqué, VACAF repose sur la plateforme nationale vacaf.org, hébergée par un prestataire externe et pilotée par la Caf de l’Hérault pour le compte du réseau des Caf, et une cellule de crise a été activée, les équipes de la Cnaf, de Vacaf et de la Caf de l’Hérault étant mobilisées pour déterminer les circonstances de l’incident et en évaluer le périmètre.

Les chiffres circulant dans la presse viennent uniquement de la revendication du pirate, que le communiqué de la Cnaf ne reprend pas : trois fichiers totalisant 1 390 558 lignes (1 191 967 dossiers d’allocataires, que le pirate dit répartis entre 58 caisses, 97 269 fiches Pass Colo et 101 322 inscriptions d’enfants à des séjours), soit environ 1 Go selon Fuites Infos. Le nombre de caisses est lui-même rapporté avec deux dénominateurs : 58 caisses sur les 96 qui adhèrent au dispositif selon Clubic, 58 sur les 101 que compte le réseau selon Le Tribunal du Net, la Cnaf ne donnant aucun chiffre. Le pirate dit lui-même détenir environ 1,1 million de numéros d’allocataire distincts, ce qui montre que les lignes se recoupent, et Cyberattaque.org, seule source à le faire, l’identifie sous le pseudonyme Syrv4x, qu’aucune autre source consultée ne reprend et que l’on ne peut donc pas recouper. FrenchBreaches n’a examiné que trois extraits de 500 lignes, dont il juge la revendication crédible (selon Clubic) sans pouvoir authentifier les totaux annoncés, et Clubic rapporte que le pirate affirme en outre que les données ne concernent que les bénéficiaires de 2026. Journal du Geek (12 octobre), seule source sur ce point, prête à la Cnaf à la fois un démenti du chiffre de 1 191 967 dossiers et l’affirmation que les données ne portent que sur 2026, sans indiquer par quel canal : le communiqué du 10 octobre, lu en entier, ne contient ni l’un ni l’autre et aucune autre publication de la Cnaf n’a été trouvée, de sorte que ces deux points ne sont pas retenus comme des déclarations de la Cnaf. Un nombre de lignes ne correspondant ni à un nombre de familles ni à un nombre de personnes, parents et enfants cumulés, aucun chiffre de victimes n’est retenu ici tant que la Cnaf n’a pas consolidé le périmètre.

D’après les échantillons examinés, les fichiers contiendraient les noms et prénoms des allocataires et des enfants, la date de naissance des enfants (en grande majorité mineurs), un numéro d’allocataire ou de dossier CAF avec la caisse de rattachement, le quotient familial, la composition du foyer, les montants d’aide, le prix des séjours, le reste à charge et les dates et lieux des séjours réservés. Ces échantillons ont été diffusés avec l’annonce de vente et examinés séparément par Fuites Infos et FrenchBreaches (relayé par Clubic et MacGeneration), sans que la Cnaf ait publié la liste des données touchées ni confirmé leur authenticité. La présence du numéro d’allocataire repose sur la lecture qu’en font Fuites Infos, Cyberattaque.org et FrenchBreaches, qui parle de numéros de dossier CAF. Fuites Infos n’a relevé ni adresse postale, ni courriel, ni téléphone dans l’échantillon, mais un fraudeur n’a pas besoin de ces champs pour bâtir un message crédible : connaître le prénom de l’enfant, la date et le lieu du séjour et le montant restant à payer permet d’imiter la CAF ou un centre de vacances pour réclamer un règlement, et Le Tribunal du Net évoque de faux messages de trop-perçu. Le quotient familial, qui reflète la situation financière du foyer, associé à l’identité et à la date de naissance d’enfants, rend ces données sensibles ; la gravité est cependant retenue à « élevée » plutôt qu’à « critique », faute d’échantillons indépendants du vendeur et de confirmation officielle de la présence de données d’enfants en volume, et elle serait à relever si la Cnaf la confirmait.

Du côté de la réaction, la Cnaf a suspendu l’accès à vacaf.org à titre conservatoire, indique que l’ANSSI et la CNIL ont été informées, affirme que l’ensemble des procédures prévues en matière de protection des données personnelles sont mises en œuvre et annonce un dépôt de plainte « dans les prochaines heures », dont les sources consultées ne confirment pas l’exécution. Elle affirme, d’après ses premières analyses, que ni les données bancaires des allocataires ni les mots de passe d’accès aux services en ligne des Caf ne sont concernés, une indication qui n’a pas pu être vérifiée de façon indépendante. L’incident n’affecterait pas le versement des prestations, VACAF étant décrit comme totalement séparé du système qui gère et paie les aides, et les séjours déjà réservés restent valables tandis que les nouvelles réservations sont suspendues. La Cnaf ne donne ni nombre de personnes, ni liste précise des données, ni cause, et annonce qu’elle informera individuellement les personnes concernées dès qu’elle aura une vision consolidée du périmètre ; au 12 octobre 2026, selon MacGeneration, le site était toujours hors ligne, et aucune information postérieure n’a été trouvée.

Pour les familles ayant utilisé VACAF, la Cnaf appelle à la vigilance face aux tentatives d’hameçonnage et d’usurpation d’identité exploitant l’incident, et promet des recommandations dédiées aux personnes touchées. En attendant, il est préférable de ne cliquer sur aucun lien reçu par courriel ou SMS à propos d’une aide aux vacances, d’un reste à charge ou d’un remboursement, et de vérifier toute demande de paiement en passant par l’espace personnel de caf.fr ou en rappelant soi-même le centre de vacances ou l’organisme concerné. Les courriels suspects peuvent être signalés à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas de fraude avérée.