Vacaf, la ayuda a las vacaciones de las Caf francesas, hackeada: datos de hasta 1,2 millones de familias en riesgo

Vacaf, el dispositivo de ayuda a las vacaciones de las Caf francesas, sufrió un ciberataque. Nombres, hijos y prestaciones de hasta 1,2 millones de familias podrían quedar expuestos — sin datos bancarios, pero una mina para el phishing.

Qué ha pasado

El 9 de octubre de 2026, el sitio especializado French Breaches informó de que archivos de Vacaf — el dispositivo de ayuda a las vacaciones de las Caf, gestionado por la Cnaf — se ofrecían a la venta en un foro criminal. La Cnaf confirmó el 10 de octubre un «incidente de ciberseguridad», cortó el acceso a vacaf.fr por precaución y activó una célula de crisis con Vacaf y la Caf de Hérault.

Qué está afectado — y qué no

Según la reivindicación del atacante, alrededor de 1,2 millones de archivos, de cajas de toda Francia, estarían afectados: nombres, situaciones familiares y prestaciones, identidades y fechas de nacimiento de niños, e información de reservas de estancias. La Cnaf subraya que sus primeros análisis no muestran ni datos bancarios ni contraseñas de acceso a los servicios Caf, y que el pago de prestaciones no se ve afectado. La cifra de 1,2 millones procede del atacante, no de la Cnaf.

El verdadero peligro: el phishing dirigido

Incluso sin contraseñas ni datos bancarios, esta fuga es una mina para el fraude. Con el nombre de una familia, sus hijos y el hecho de haber pedido una ayuda de vacaciones, un estafador puede enviar un mensaje falso muy creíble — «complete su expediente Vacaf», «confirme para conservar su ayuda» — que lleva a una página de phishing o a un pago. La presencia de datos de menores lo hace especialmente sensible. La Cnaf avisará individualmente a las personas afectadas.

Qué hacer ahora

• Desconfíe de cualquier mensaje sobre Vacaf o la Caf (SMS, correo, llamada), aunque use su nombre o el de sus hijos.
• No pague nunca ni introduzca una contraseña o un número de tarjeta para «conservar» una ayuda.
• Vaya usted mismo al sitio oficial en lugar de hacer clic en un enlace recibido.
• En caso de duda, verifique el enlace o el correo antes de actuar — lleva dos minutos.

Este incidente recuerda que las plataformas públicas guardan enormes volúmenes de datos personales, y que un solo servicio expuesto puede poner en riesgo a millones de familias.

Fuentes

• France 3 / franceinfo — Plus d'un million de fichiers volés après une cyberattaque contre la Caf
• ICI — Fuite de données : le dispositif d'aide aux vacances des Caf victime d'une cyberattaque
• Cybermalveillance.gouv.fr — Hameçonnage (phishing) : que faire ?

Cómo elegimos, verificamos y redactamos nuestros análisis →