Une fuite de données a touché VACAF, le service d’assistance aux vacances lié aux Caisses d’Allocations Familiales (CAF), avec près de 1,2 million de fichiers revendiqués par un hacker. La CNAF a confirmé l’incident. Suite à cela, elle a temporairement suspendu la plateforme et a ouvert une enquête pour évaluer l’ampleur de la fuite.
Données personnelles des familles et de leurs enfants
Un hacker prétend avoir récupéré près de 1,2 million de fichiers liés à VACAF et les propose à la vente sur un forum prisé par les hackers. Les données concernent des bénéficiaires depuis 2026. Parmi les informations extraites figurent notamment :
- Noms et prénoms des parents et des enfants.
- Dates de naissance des mineurs.
- Numéros de dossier CAF.
- Départements et CAF concernés.
- Quotient familial utilisé pour le calcul de certaines aides.
- Nombre d’adultes et d’enfants dans le foyer.
- Montants des aides aux vacances.
- Dates et lieux des séjours réservés.
- Montants dus par les familles.
Cette situation affecte la plateforme vacaf.org, hébergée par un prestataire externe et gérée par la CAF de l’Hérault pour le réseau national. Selon les informations disponibles, il ne s’agit pas d’une attaque généralisée visant le site principal de la CAF (qui a déjà été piraté par le passé). La CNAF précise que ses premières analyses n’ont pas révélé de données bancaires ou de mots de passe pour les services en ligne parmi les informations concernées.
Suspension de la plateforme VACAF et maintien des services
Pour limiter les risques, la CNAF a suspendu l’accès à VACAF et a activé une cellule de crise. Il est nécessaire de porter plainte, tout en informant l’ANSSI et la CNIL. Des enquêtes sont en cours pour clarifier les circonstances de l’incident et identifier les personnes impliquées.
Cette fuite pourrait faciliter des tentatives de phishing ciblées. Avec des informations précises sur les enfants, les prestations reçues ou un séjour, un escroc pourrait créer un message SMS ou un courriel très convaincant au nom de la CAF ou d’une organisation touristique.
Les familles sont donc invitées à se méfier des messages inattendus demandant des identifiants, des documents ou des coordonnées bancaires, même si leur contenu semble crédible. En cas de doute, il est préférable de contacter directement sa CAF via ses canaux officiels.
La CNAF indique que les services continuent d’être versés normalement et que les séjours déjà réservés ne sont pas remis en question. Les nouvelles réservations sur VACAF restent temporairement suspendues. L’organisation prévoit d’informer individuellement les personnes concernées une fois que le périmètre de la fuite sera établi.
