CAF : fuite de données sur Vacaf, 1,2 million de dossiers revendiqués

La Caisse nationale des allocations familiales (Cnaf) a signalé une fuite de données touchant le dispositif Vacaf, qui finance les vacances des familles éligibles. L'incident a été signalé vendredi 9 octobre 2026, et un pirate revendique le vol de plus d'un million de dossiers d'allocataires. La Cnaf ne confirme pas ce chiffre.

Une plateforme d'aide aux vacances touchée

Un « incident de cybersécurité » a visé le dispositif Vacaf, qui permet aux familles éligibles de financer leurs séjours de vacances et ceux de leurs enfants en colonie. Selon la Cnaf, « une fuite concernant les données des bénéficiaires » a été signalée vendredi 9 octobre au soir. L'organisme l'a annoncé samedi 10 octobre dans un communiqué.

La Cnaf indique que l'accès au site vacaf.org a été suspendu rapidement pour sécuriser l'environnement et empêcher de nouveaux accès non autorisés. Une cellule de crise a été activée. L'organisme n'a pas précisé le nombre de personnes concernées.

Selon l'agence AFP, reprise par Sud Ouest, la Cnaf affirme que cet incident n'a aucun effet sur le versement des prestations par les CAF.

Un chiffre revendiqué par le pirate, non confirmé

D'après un site spécialisé dans le suivi des fuites de données, l'auteur de l'attaque revendique « environ 1,2 million de dossiers d'allocataires ». Ces éléments proviennent des pirates et n'ont pas été vérifiés de manière indépendante.

La Cnaf n'a pas confirmé ce chiffre. Elle précise qu'elle n'a pas encore une vision consolidée du périmètre de l'incident. À ce stade, le nombre réel de personnes touchées n'est donc pas connu.

Des données bancaires et des mots de passe épargnés

Les premières analyses de la Cnaf indiquent que ni les données bancaires des allocataires ni les mots de passe d'accès aux services en ligne des CAF ne figurent parmi les données concernées. Ces informations viennent de l'organisme et n'ont pas été vérifiées par un tiers.

La nature exacte des autres données volées n'a pas été détaillée dans les sources disponibles.

Plainte déposée et autorités informées

Selon le communiqué de la Cnaf, une plainte doit être déposée « dans les prochaines heures ». L'Agence nationale de la sécurité des systèmes d'information (Anssi) et la Commission nationale de l'informatique et des libertés (Cnil) ont été informées de l'incident.

La Cnaf s'engage à informer individuellement les personnes concernées dès qu'elle disposera d'un périmètre consolidé. Elle leur transmettra des recommandations pour se protéger contre l'escroquerie, l'hameçonnage (phishing) et l'usurpation d'identité. Aucun calendrier précis n'a été communiqué.

Ce que les allocataires doivent surveiller

Les bénéficiaires du dispositif Vacaf doivent rester vigilants face aux messages qui se présentent comme venant de la CAF ou de Vacaf. La Cnaf rappelle que l'attaque peut servir à des tentatives d'escroquerie et d'usurpation d'identité.

Tant que la Cnaf n'a pas précisé l'étendue de la fuite, aucune donnée personnelle ne peut être considérée comme hors de risque pour les familles inscrites sur la plateforme.

Cette fuite est revendiquée par ses auteurs et n'a pas été confirmée à ce stade par l'organisation concernée. Elle doit être considérée avec prudence.