Fuite de données : 1,2 million de dossiers Caf via Vacaf
Le dispositif Vacaf d'aide aux vacances des Caf a subi une cyberattaque vendredi. Un pirate revendique 1,2 million de dossiers d'allocataires.
La Cnaf (Caisse nationale des allocations familiales) a reconnu, samedi 10 octobre, une fuite de données survenue la veille sur la plateforme vacaf.org. Ce dispositif, qui permet aux familles modestes de financer leurs vacances ou l'inscription de leurs enfants en colonie, a ainsi été touché par cet incident de cybersécurité.
« Hier soir, une fuite concernant les données des bénéficiaires de ce dispositif a été signalée », indique la Cnaf dans un communiqué. L'organisme précise que l'accès au site a été « rapidement suspendu » et qu'une cellule de crise a été activée.
« Hier soir, une fuite concernant les données des bénéficiaires de ce dispositif a été signalée », La Cnaf, communiqué officiel.
Une plainte doit être déposée « dans les prochaines heures », selon la Cnaf, qui a informé l'Agence nationale de la sécurité des systèmes d'information (Anssi) et la Commission nationale de l'informatique et des libertés (Cnil). L'incident n'a, selon l'organisme, « aucun impact sur le versement des prestations par les Caf ».
Près de 1,2 million de dossiers mis en vente
Selon le site spécialisé FrenchBreaches, repris par Le Parisien et Ouest-France, un pirate a mis en vente sur un forum cybercriminel 1 191 967 dossiers d'allocataires, répartis entre 58 caisses Caf sur les 101 que compte le réseau. Le vendeur, identifié par le site Cyberattaque.org sous le pseudonyme Syrv4x, affirme aussi détenir 97 269 fiches Pass Colo et 101 322 inscriptions d'enfants à des séjours, soit un total de 1 390 558 lignes.
Ces chiffres correspondent à des lignes de fichier et non à un nombre de personnes distinctes, une même famille pouvant apparaître dans plusieurs fichiers. Les données exposées incluent les identités et dates de naissance de mineurs, les matricules Caf, les quotients familiaux, la composition des foyers, les montants d'aides et les dates de séjours réservés.
« Les premières analyses confirment d'ores et déjà que ni les données bancaires des allocataires, ni les mots de passe d'accès aux services en ligne des Caf ne figurent parmi les données concernées », La Cnaf, communiqué officiel.
Les données concernées portent sur des bénéficiaires de l'année 2026, avec des exports datés des 8 et 9 octobre, soit juste avant la divulgation publique.
| Indicateur | Chiffre | Source |
|---|---|---|
| Dossiers d'allocataires revendiqués | 1 191 967 | Le Parisien, 10 octobre 2026 |
| Fiches Pass Colo revendiquées | 97 269 | Clubic, 10 octobre 2026 |
| Inscriptions d'enfants à des séjours | 101 322 | Clubic, 10 octobre 2026 |
| Caisses Caf concernées | 58 sur 101 | Le Parisien, 10 octobre 2026 |
| Précédente fuite Caf (2024) | 600 000 allocataires | Ouest-France, 10 octobre 2026 |
Une accumulation de précédents
Cette attaque n'est pas la première visant le réseau des allocations familiales. En février 2024, des pirates avaient déjà affirmé avoir récupéré les données de 600 000 allocataires, selon Ouest-France. Début 2026, une intrusion sur la plateforme HubEE avait permis de dérober 70 000 dossiers contenant des données personnelles, d'après 60 Millions de consommateurs. Le même média rapporte qu'un fichier des bénéficiaires du Revenu de solidarité active (RSA) avait aussi été ciblé par un piratage visant la Caf.
Le site Caf.fr, qui dessert 13,5 millions d'allocataires représentant 32,7 millions de personnes couvertes selon Le Figaro, enregistre près d'un milliard de connexions chaque année. La France figure parmi les pays les plus ciblés par les cyberattaques visant des sites publics, en raison de l'attractivité de ses données et de certaines faiblesses de ses défenses, selon plusieurs rapports cités par BFMTV.
Les familles en attente d'être informées
La Cnaf indique que, « dès qu'elle disposera d'une vision consolidée du périmètre de l'incident », elle informera individuellement les personnes concernées. L'organisme promet de leur communiquer des recommandations pour se prémunir contre d'éventuelles tentatives d'escroquerie, d'hameçonnage ou d'usurpation d'identité.
L'organisme assure que les données bancaires et les mots de passe d'accès aux services en ligne des Caf ne figurent pas parmi les informations dérobées. Les réservations déjà effectuées via Vacaf sont maintenues, mais les nouvelles réservations sur la plateforme restent suspendues pendant la durée des investigations. Ni la Cnaf ni la Caf de l'Hérault, qui pilote le dispositif Vacaf pour l'ensemble du réseau, n'ont à ce stade confirmé l'ampleur exacte des volumes avancés par le pirate.
Sources
- BFMTV : Tech
- Fuite de données : le dispositif d'aide aux vacances des Caisses d'allocations familiales victime d'une cyberattaque
- Un site d'aide aux vacances de la Caf victime d'une cyberattaque, près de 1,2 million de dossiers concernés
- Un site de la Caisse d'allocations familiales piraté : 1,2 million de fichiers de bénéficiaires volés
- CAF : les revenus, les enfants et les vacances de 1,2 million de familles seraient en vente sur un forum
- Un pirate revendique près de 1,2 million de dossiers liés aux aides vacances de la CAF
- VACAF : 1,39 million de lignes en fuite, les données de familles et d'enfants exposées
- Attaques des sites publics : les citoyens livrés aux pirates
- Un incident informatique affecte 7000 dossiers sur le site de la CAF
Sujets
Sur le même sujet
Société1,2 million d'allocataires exposés par la fuite de données VacafLa Cnaf a confirmé samedi une fuite de données sur Vacaf, son dispositif d'aide aux vacances. Un pirate revendique 1,2 million de dossiers d'allocataires.
TechHauts-de-France : une fuite de données touche des centainesLa région Hauts-de-France a annoncé samedi 3 octobre le piratage de deux prestataires, Atexo et Docaposte.
TechFrigos à 50°C : pourquoi un seul prestataire a tout fait basculerDes centaines de supermarchés français ont vu leurs installations frigorifiques piratées dans la nuit de dimanche à lundi.