CAF : fuite de données sur le dispositif d'aide aux vacances Vacaf

La Caisse nationale des allocations familiales (Cnaf) a confirmé une fuite de données sur Vacaf, son dispositif d'aide aux vacances. L'incident a été signalé vendredi, et la Cnaf n'a pas donné de chiffre officiel.

Que s'est-il passé chez la CAF ?

Un « incident de cybersécurité » a touché le dispositif Vacaf vendredi, selon la Cnaf. Une fuite concernant les données des bénéficiaires a été signalée. L'accès à la plateforme vacaf.org a été rapidement suspendu pour bloquer tout nouvel accès non autorisé. Une cellule de crise a été mise en place.

Vacaf permet aux familles éligibles de recevoir des aides pour partir en vacances ou financer les séjours de leurs enfants.

Quelles données ont fuité ?

La Cnaf ne détaille pas précisément les informations exposées à ce stade. Elle affirme cependant que les données bancaires des allocataires ne sont pas concernées. Les mots de passe d'accès aux services en ligne des CAF ne figurent pas non plus parmi les données touchées.

La Cnaf indique que ces conclusions sont des premières analyses. Le périmètre complet de la fuite n'est pas encore connu.

Combien de personnes sont concernées ?

La Cnaf ne donne aucun chiffre sur le nombre de personnes touchées. Un site spécialisé dans les fuites de données affirme que l'auteur revendique environ 1,2 million de dossiers d'allocataires. La Cnaf n'a pas confirmé ce chiffre.

Le nombre réel de personnes concernées n'est donc pas connu pour le moment.

Que dit la CAF après la fuite ?

Dans un communiqué, la Cnaf assure que l'incident n'a aucun impact sur le versement des prestations. Une plainte doit être déposée « dans les prochaines heures », selon l'organisme. L'Agence nationale de la sécurité des systèmes d'information (Anssi), chargée de la sécurité informatique en France, a été informée. La CNIL (Commission nationale de l'informatique et des libertés), gendarme des données personnelles, a aussi été prévenue.

La Cnaf promet d'écrire individuellement aux personnes touchées. Elle leur enverra aussi des conseils pour se protéger, dès qu'elle connaîtra le périmètre exact.

Qui est derrière l'attaque de la CAF ?

L'identité de l'auteur de la cyberattaque n'est pas connue à ce stade. Les informations disponibles ne permettent pas de dire qui a accédé aux données. Seule une revendication, non confirmée, a été relayée par un site spécialisé. Il faut donc rester prudent avec ces affirmations.

Quels risques pour les bénéficiaires de Vacaf ?

Les données exposées peuvent servir à des tentatives d'hameçonnage (messages frauduleux qui imitent un organisme pour voler des informations). Elles peuvent aussi servir à une usurpation d'identité, c'est-à-dire qu'un escroc se fait passer pour vous. La Cnaf met en garde contre ces risques. Les bénéficiaires doivent donc surveiller les messages qu'ils reçoivent, surtout ceux qui réclament des informations personnelles.