La Cnaf a confirmé une fuite de données liée à Vacaf, le service d’aides aux vacances des Caisses d’allocations familiales. Le site vacaf.org a été suspendu après un incident signalé le 9 octobre 2026. Les versements habituels continuent, mais les familles doivent se protéger contre les messages frauduleux.
Les données bancaires et les mots de passe des comptes CAF ne figurent pas parmi les informations signalées comme exposées. La Cnaf n’a pas confirmé le chiffre de 1,2 million de dossiers avancé par un vendeur sur un forum clandestin. Les personnes concernées doivent surveiller leur espace CAF et leurs courriels, puis ignorer toute demande suspecte de code, de paiement ou de RIB.
La fuite de données concerne des dossiers gérés par une plateforme externe, et non le versement des prestations. La priorité porte sur la protection des données personnelles et le risque d’usurpation d’identité. Les familles peuvent aussi consulter ces conseils contre l’usurpation d’identité.
Fuite de données Vacaf : les faits connus
Vacaf aide certains foyers à financer des séjours dans des centres ou campings partenaires. La plateforme vacaf.org, gérée dans le cadre du dispositif porté par la Caf de l’Hérault, est au cœur de l’incident. La Cnaf a signalé une cyberattaque le 10 octobre 2026. Elle a suspendu l’accès au site pour protéger son environnement informatique.
Une cellule de crise a été activée après la détection de l’incident. La Cnaf a informé l’ANSSI et la CNIL, puis annoncé le dépôt d’une plainte. Les aides CAF, dont l’APL et le RSA, continuent selon l’organisme. Les séjours déjà réservés restent aussi maintenus, d’après les éléments transmis.
Le site spécialisé FrenchBreaches rapporte qu’un vendeur revendique environ 1,2 million de dossiers. Ce volume n’a pas été confirmé par la Cnaf. Le périmètre exact de la fuite et les catégories de données exposées restent à préciser. L’organisme prévoit d’aviser chaque personne concernée par courrier, courriel ou espace en ligne.
| Point vérifié | Information connue |
|---|---|
| Service touché | La plateforme Vacaf, accessible via vacaf.org |
| Données bancaires et mots de passe CAF | Non signalés parmi les informations exposées |
| Versement des prestations | La Cnaf indique qu’il se poursuit normalement |
| Nombre de dossiers | 1,2 million revendiqués, chiffre non confirmé |
Quelles familles et quelles données sont concernées ?
Les familles qui ont déjà reçu une aide Vacaf peuvent être concernées, même si leur dossier date d’une période passée. La Cnaf n’a pas encore publié la liste exacte des champs exposés. Les informations associées à un dossier peuvent inclure une identité ou des coordonnées. Seule une notification officielle permettra de confirmer le cas de chaque foyer.
La fuite porte sur la confidentialité des informations, pas sur les droits aux prestations. Les comptes qui gèrent les aides sociales fonctionnent hors du service Vacaf, selon la Cnaf. Cela ne supprime pas le risque de messages frauduleux adaptés aux familles. Un courriel qui cite un séjour ou un dossier peut sembler crédible sans venir de la CAF.
Les fraudeurs peuvent exploiter des coordonnées pour lancer du phishing par courriel, SMS ou téléphone. Ils peuvent réclamer un code, un RIB ou des frais fictifs. Aucun mot de passe ne doit être transmis en réponse à ce type de demande. Pour toute démarche, ouvrez vous-même le site officiel ou l’application habituelle.
La vigilance doit aussi porter sur les comptes personnels liés à la même adresse électronique. Un mot de passe réutilisé facilite l’accès à plusieurs services si un autre compte a été compromis. Des mots de passe longs et distincts réduisent ce risque. Les mesures de sécurité informatique au quotidien aident à limiter les conséquences.
Comment se protéger après l’incident Vacaf
Consultez régulièrement « Mon Compte » sur caf.fr et sa messagerie sécurisée. Ne passez jamais par un lien reçu dans un courriel ou un SMS pour vérifier une alerte. En cas de doute, saisissez vous-même l’adresse du site officiel. Vérifiez aussi que les coordonnées de contact de votre compte restent exactes.
Refusez toute demande de codes de connexion, de RIB ou de paiement qui prétend venir de la CAF ou de Vacaf. La CAF ne doit pas vous demander votre mot de passe par téléphone ou message. Si une sollicitation semble crédible, contactez votre caisse avec les coordonnées publiées sur son site. Signalez à votre banque tout débit que vous ne reconnaissez pas.
Renouvelez les mots de passe des comptes essentiels s’ils sont réutilisés ailleurs. Activez la double authentification lorsqu’un service la propose. Surveillez les démarches administratives ou financières ouvertes à votre nom. Si une usurpation d’identité est avérée, contactez les services concernés et déposez plainte.
La Cnaf doit préciser quelles données ont été exposées et prévenir chaque personne concernée. En attendant, une alerte reçue par un canal officiel mérite examen, mais aucun lien suspect ne doit être ouvert. L’incident appelle une vigilance réelle, sans raison de suspendre les prestations ou les séjours. La protection des données commence ici par des vérifications simples et régulières.
