Fuite de données à la CAF : des dossiers d’allocataires en vente

Un pirate revendique le vol de dossiers de VACAF, le service d’aides aux vacances de la CAF, mis en vente le 9 octobre 2026. Il affirme viser plus d’un million d’allocataires, mais la CAF n’a pas confirmé l’attaque.

Que s’est-il passé à la CAF ?

Le vendredi 9 octobre, un pirate a mis en vente des fichiers sur un forum cybercriminel, d’après Frandroid. Il les attribue à VACAF, qui gère les aides aux vacances des Caisses d’allocations familiales (CAF). Un site spécialisé dans les fuites a révélé l’affaire après avoir consulté des extraits. Le pirate n’a pas encore prouvé l’ampleur réelle de son vol. Selon le site Fuites Infos, il aurait utilisé des comptes utilisateurs peu protégés, mais aucune source officielle ne le confirme.

Les fichiers porteraient sur des bénéficiaires de 2026. Les réservations les plus récentes datent du 7 octobre 2026.

Quelles données ont fuité à la CAF ?

Selon Frandroid, les extraits contiennent les noms et prénoms des parents et des enfants. On y trouve aussi les dates de naissance des mineurs et le numéro d’allocataire. Le quotient familial (le calcul qui sert à fixer les aides) figure également dans les fichiers. Ils indiquent aussi le nombre d’adultes et d’enfants, le montant des aides et les dates et lieux des séjours. Fuites Infos n’a trouvé ni adresse e-mail, ni numéro de téléphone, ni adresse postale dans l’échantillon.

En clair, ces fichiers permettraient de deviner les revenus d’une famille et les vacances de ses enfants.

Combien d’allocataires de la CAF sont concernés ?

Le pirate affirme détenir 1 191 967 dossiers, répartis entre 58 caisses sur les 101 du réseau. Il ajoute 97 269 fiches Pass Colo, une aide au départ en colonie, et 101 322 inscriptions d’enfants. Frandroid rappelle qu’une même famille peut apparaître plusieurs fois dans ces lignes. Selon Fuites Infos, le pirate parle lui-même d’environ 1,1 million de numéros d’allocataire différents. Le titre de l’annonce parle, lui, de 1,2 million de dossiers : c’est un écart à noter. Les Caisses comptaient 13,5 millions d’allocataires en 2023, selon la Cnaf. Frandroid n’a pu vérifier ces chiffres : trois échantillons de 500 lignes chacun ne suffisent pas.

Que dit la CAF après cette fuite de données ?

Ni la CAF de l’Hérault, qui gère VACAF pour tout le réseau, ni la Caisse nationale des allocations familiales (Cnaf) n’ont confirmé le piratage publiquement. Frandroid rappelle un précédent en décembre 2025. Un fichier de 22 millions de lignes, attribué à la CAF, circulait alors sur un forum. La Cnaf avait démenti tout piratage de son système. Elle expliquait que les données venaient d’administrations partenaires. Aucune réaction officielle récente n’est connue à ce stade.

Quels risques pour les familles de la CAF ?

Un escroc peut utiliser ces informations pour paraître crédible au téléphone ou par message. Il peut connaître le prénom d’un enfant, le montant d’une aide et les dates d’un séjour, comme le souligne Frandroid. Ce type de message frauduleux s’appelle un hameçonnage (une tentative de tromperie pour voler des données). Les risques concernent surtout les revenus estimés et la composition des familles. La CAF n’a pas encore indiqué de mesures pour les allocataires touchés.

Cette fuite est revendiquée par ses auteurs et n'a pas été confirmée à ce stade par l'organisation concernée. Elle doit être considérée avec prudence.