1,2 million d'allocataires exposés par la fuite de données Vacaf

La fuite de données Vacaf, longtemps restée à l'état de rumeur sur les forums cybercriminels, est désormais officielle. Samedi, la Caisse nationale des allocations familiales (Cnaf) a reconnu, dans un communiqué, un « incident de cybersécurité » survenu vendredi soir sur la plateforme vacaf.org, le dispositif national d'aide aux vacances géré pour le compte du réseau des Caf.

Une fuite confirmée après plusieurs jours de silence

L'organisme indique qu'« une fuite concernant les données des bénéficiaires de ce dispositif a été signalée » vendredi soir. L'accès à vacaf.org a été « rapidement suspendu à titre conservatoire » et une cellule de crise a été activée. Depuis samedi, le site affiche une page d'erreur annonçant une maintenance technique.

La Cnaf précise que ni les données bancaires des allocataires, ni les mots de passe d'accès aux services en ligne des Caf ne figurent parmi les informations concernées. Elle assure aussi que l'incident n'a « aucun impact » sur le versement des prestations, la plateforme Vacaf étant totalement séparée du système d'information qui gère les paiements.

« Les premières analyses confirment d'ores et déjà que ni les données bancaires des allocataires, ni les mots de passe d'accès aux services en ligne des CAF ne figurent parmi les données concernées », la Cnaf, communiqué officiel.

Ce que contiennent les fichiers volés

Selon le site spécialisé cyberattaque.org, un pirate identifié sous le pseudonyme Syrv4x revendique avoir extrait trois fichiers distincts de vacaf.org, avec des dates d'export du 8 et 9 octobre 2026. Le plus volumineux, consacré aux allocataires, compterait 1 191 967 fiches. Un deuxième fichier lié au Pass Colo en contiendrait 97 269, et un troisième, consacré aux enfants inscrits en séjours collectifs, 101 322.

D'après le site Fuites Infos, qui a analysé un échantillon diffusé avec l'annonce de vente, les données exposées comprennent les noms et prénoms des allocataires et de leurs enfants, les dates de naissance des mineurs, le numéro d'allocataire, la caisse de rattachement, le quotient familial ainsi que les montants d'aide et de séjour. Aucune adresse électronique, ni téléphone, ni adresse postale ne figurerait en revanche dans l'échantillon examiné. Le Parisien ajoute que des comptes dépourvus de double authentification auraient notamment été ciblés par l'attaquant.

Combien de familles sont concernées

Le chiffre de 1,39 million de lignes additionne trois fichiers différents et ne correspond pas à un nombre équivalent de personnes : une même famille peut apparaître dans plusieurs fichiers ou plusieurs réservations. Le pirate lui-même évoquerait, selon Fuites Infos, environ 1,1 million de numéros d'allocataire distincts.

Nos confrères de 1,2 million de dossiers d'allocataires avaient déjà détaillé cette première revendication, confirmée depuis par la Cnaf sans qu'elle en précise l'ampleur exacte.

Si le chiffre de 1,2 million de dossiers se confirmait, il représenterait environ un allocataire sur douze, selon les effectifs de la Cnaf. Les données volées seraient réparties entre 58 des 101 caisses du réseau.

Les suites : plainte, enquête et recommandations

La Cnaf a annoncé qu'une plainte serait déposée « dans les prochaines heures » et que l'Agence nationale de la sécurité des systèmes d'information (Anssi) ainsi que la Commission nationale de l'informatique et des libertés (Cnil) ont été informées. L'organisme indique qu'il communiquera individuellement avec les personnes concernées dès qu'il disposera d'une « vision consolidée du périmètre de l'incident », avec des recommandations contre le risque d'hameçonnage ou d'usurpation d'identité.

Les réservations de séjours déjà effectuées via Vacaf restent maintenues. En revanche, les nouvelles réservations sur la plateforme sont suspendues pendant la durée des investigations et des opérations de sécurisation. Cette affaire survient quelques mois après le piratage des systèmes du fisc, qui avait exposé les données personnelles de près de 700 000 personnes cet été, selon TF1 Info.