Vacaf, l'aiuto alle vacanze delle Caf francesi, violato: a rischio i dati di 1,2 milioni di famiglie

Vacaf, il dispositivo di aiuto alle vacanze delle Caf francesi, ha subito un attacco informatico. Nomi, figli e prestazioni di fino a 1,2 milioni di famiglie potrebbero essere esposti — nessun dato bancario, ma una miniera per il phishing.

Cosa è successo

Il 9 ottobre 2026 il sito specializzato French Breaches ha segnalato che file di Vacaf — il dispositivo di aiuto alle vacanze delle Caf, gestito dalla Cnaf — erano in vendita su un forum criminale. La Cnaf ha confermato il 10 ottobre un «incidente di cybersicurezza», ha messo offline vacaf.fr per precauzione e ha attivato una cellula di crisi con Vacaf e la Caf dell'Hérault.

Cosa è coinvolto — e cosa no

Secondo la rivendicazione dell'attaccante, circa 1,2 milioni di file, da casse di tutta la Francia, sarebbero coinvolti: nomi, situazioni familiari e prestazioni, identità e date di nascita di bambini e informazioni di prenotazione dei soggiorni. La Cnaf sottolinea che le prime analisi non mostrano né dati bancari né password di accesso ai servizi Caf, e che il pagamento delle prestazioni non è compromesso. La cifra di 1,2 milioni viene dall'attaccante, non dalla Cnaf.

Il vero pericolo: il phishing mirato

Anche senza password o dati bancari, questa fuga è una miniera per la frode. Con il nome di una famiglia, i suoi figli e il fatto di aver chiesto un aiuto per le vacanze, un truffatore può inviare un falso messaggio molto credibile — «completi la sua pratica Vacaf», «confermi per mantenere il suo aiuto» — che porta a una pagina di phishing o a un pagamento. La presenza di dati su minori rende il caso particolarmente delicato. La Cnaf avviserà individualmente le persone interessate.

Cosa fare ora

• Diffidate di qualsiasi messaggio su Vacaf o sulla Caf (SMS, e-mail, chiamata), anche se cita il vostro nome o quello dei vostri figli.
• Non pagate mai e non inserite mai una password o un numero di carta per «mantenere» un aiuto.
• Andate voi stessi sul sito ufficiale invece di cliccare su un link ricevuto.
• Nel dubbio, verificate il link o l'e-mail prima di agire — bastano due minuti.

Questo incidente ricorda che le piattaforme pubbliche custodiscono enormi volumi di dati personali e che un solo servizio esposto può mettere a rischio milioni di famiglie.

Fonti

• France 3 / franceinfo — Plus d'un million de fichiers volés après une cyberattaque contre la Caf
• ICI — Fuite de données : le dispositif d'aide aux vacances des Caf victime d'une cyberattaque
• Cybermalveillance.gouv.fr — Hameçonnage (phishing) : que faire ?

Come scegliamo, verifichiamo e scriviamo le nostre analisi →