Vacaf, l'aide aux vacances des Caf, piraté : les données de 1,2 million de familles exposées

Vacaf, le dispositif d'aide aux vacances des Caf, a été victime d'une cyberattaque. Jusqu'à 1,2 million de familles — noms, enfants, prestations — pourraient être exposées. Pas de données bancaires, mais une mine pour l'hameçonnage.

Ce qui s'est passé

Le 9 octobre 2026, le site spécialisé French Breaches signale que des fichiers de Vacaf — le dispositif d'aide aux vacances des Caf, piloté par la Cnaf — sont mis en vente sur un forum criminel. La Cnaf confirme le 10 octobre un « incident de cybersécurité », coupe l'accès à vacaf.fr par précaution et met en place une cellule de crise avec Vacaf et la Caf de l'Hérault.

Ce qui est touché — et ce qui ne l'est pas

Selon la revendication de l'attaquant, environ 1,2 million de fichiers, dans des caisses de toute la France, seraient concernés : noms, situations familiales et prestations, identités et dates de naissance d'enfants, et informations de réservation de séjours. La Cnaf souligne que ses premières analyses ne montrent ni coordonnées bancaires ni mots de passe d'accès aux services Caf, et que le versement des prestations n'est pas affecté. Le chiffre de 1,2 million vient de l'attaquant, pas de la Cnaf.

Le vrai danger : l'hameçonnage ciblé

Même sans mot de passe ni donnée bancaire, cette fuite est une mine pour la fraude. Avec le nom d'une famille, ses enfants et le fait qu'elle a demandé une aide aux vacances, un escroc peut envoyer un faux message très crédible — « complétez votre dossier Vacaf », « confirmez pour conserver votre aide » — qui mène à une page d'hameçonnage ou à un paiement. La présence de données sur des mineurs rend l'affaire particulièrement sensible. La Cnaf indique qu'elle préviendra individuellement les personnes concernées et les mettra en garde contre l'hameçonnage, la fraude et l'usurpation d'identité.

Que faire maintenant

• Méfiez-vous de tout message au sujet de Vacaf ou de la Caf (SMS, e-mail, appel), même s'il cite votre nom ou celui de vos enfants.
• Ne payez jamais, et ne saisissez jamais de mot de passe ou de numéro de carte pour « conserver » une aide.
• Allez vous-même sur le site officiel plutôt que de cliquer sur un lien reçu.
• Dans le doute, vérifiez le lien ou l'e-mail avant d'agir — cela prend deux minutes.

Cet incident rappelle que les plateformes publiques détiennent d'énormes volumes de données personnelles, et qu'un seul service exposé peut mettre des millions de familles en danger.

Sources

• France 3 / franceinfo — Plus d'un million de fichiers volés après une cyberattaque contre la Caf
• ICI — Fuite de données : le dispositif d'aide aux vacances des Caf victime d'une cyberattaque
• Cybermalveillance.gouv.fr — Hameçonnage (phishing) : que faire ?

Comment nous choisissons, vérifions et rédigeons nos analyses →