Piratage Vacaf : 5 réflexes pour protéger son espace CAF et ses aides après la fuite

Sommaire

Que s'est-il passé sur la plateforme Vacaf ?

La Caisse nationale des allocations familiales (Cnaf) a reçu une alerte le vendredi 9 octobre au soir, quand le média spécialisé FrenchBreaches a repéré une mise en vente sur un forum de cybercriminels. Le lendemain, l'organisme a reconnu un incident sur la plateforme vacaf.org, a coupé l'accès au site par précaution et a ouvert une cellule de crise. La Cnaf annonce aussi une plainte.

Vacaf n'est pas le site caf.fr. Ce service, piloté par la Caf de l'Hérault pour le réseau national et hébergé par un prestataire extérieur, finance les séjours des familles éligibles et met les caisses en relation avec les centres de vacances labellisés. Selon les chiffres publics de la caisse héraultaise, plus de 107 000 familles et près de 70 000 enfants profitent de ce dispositif d'aide.

Le mode d'accès des pirates reste inconnu à la mi-octobre 2026. Une piste évoquée par FrenchBreaches porte sur des identifiants de structures partenaires ou d'agents dépourvus de double authentification. Aucun élément public ne prouve à ce stade une intrusion directe dans les serveurs. Cette cyberattaque touche donc un service annexe, pas les outils numériques qui calculent les droits.

Quelles données ont été volées à la CAF ?

Les extraits publiés par le vendeur, examinés par FrenchBreaches sur trois lots de 500 lignes, contiennent des informations sensibles :

• les noms et prénoms des enfants, parfois ceux des parents ;
• la date de naissance des mineurs ;
• le quotient familial du foyer et le montant de l'aide accordée ;
• les dates du séjour et le reste à charge de la famille ;
• selon plusieurs médias, le numéro de dossier CAF.

Le pirate revendique 1 191 967 dossiers d'aide aux vacances, 97 269 fiches Pass Colo et 101 322 inscriptions à des séjours pour enfants, issus de 58 caisses sur les 96 adhérentes, pour la seule année 2026. Les fiches Pass Colo examinées couvrent 91 départements, soit la quasi-totalité de la France. Le pirate juge ses données authentiques, FrenchBreaches les trouve crédibles, mais la Cnaf ne confirme pas ce volume de plus d'un million de lignes. Un dossier ne correspond pas toujours à une personne : une famille peut apparaître dans plusieurs fichiers, et ces totaux ne s'additionnent pas.

Point rassurant, d'après la Cnaf : aucune donnée bancaire et aucun mot de passe des services en ligne ne figurent dans ces données personnelles, et le versement des prestations continue normalement. Le paiement prévu à la date de virement de novembre n'est donc pas remis en cause.

Les faux messages à redouter dans les semaines qui viennent

Une fuite de données sans RIB ni mot de passe reste dangereuse, car elle rend crédible un message frauduleux. Un escroc qui connaît le prénom d'un enfant, sa date de naissance et le montant d'une aide aux vacances peut écrire un SMS ou un courriel très convaincant : « régularisation de votre aide Vacaf », « remboursement d'un trop-perçu », « mise à jour de votre dossier sous 48 heures ».

Le site d’un dispositif de la Caf victime d’une cyberattaque : la Caisse silencieuse concernant l’ampleur de la fuite de données
➡️ https://t.co/iKsFGnqc7U pic.twitter.com/kcN4Uga940

— Midi Libre (@Midilibre) 10 octobre 2026

Le scénario le plus probable reste l'hameçonnage : un lien vers une copie du site des allocations familiales, qui réclame identifiant, mot de passe puis numéro de carte. Viennent ensuite les appels de faux conseillers, qui citent le quotient familial pour gagner la confiance, et les tentatives d'usurpation d'identité. Les réseaux sociaux servent aussi d'appât : un faux profil d'aide aux familles, ou un faux message des impôts, promet un remboursement en échange d'une donnée de plus. La mécanique ressemble à celle de l'arnaque au faux chèque énergie ou des relances de dette du faux huissier.

La Cnaf a pourtant une règle simple : elle ne demande jamais de coordonnées bancaires complètes ni de mot de passe par courriel, par SMS ou au téléphone.

Comment se protéger après une fuite de données ?

Vérifier chaque contact avant de répondre

Un allocataire qui reçoit un message au sujet de son dossier ne clique sur aucun lien. Il tape lui-même l'adresse caf.fr dans son navigateur, contrôle la présence du cadenas et du https, puis consulte sa messagerie personnelle sur l'espace Mon Compte. Un courriel truffé de fautes ou pressant est un signal d'alerte.

Renforcer l'accès à l'espace personnel

La double authentification de l'espace Mon Compte existe déjà et se règle depuis les paramètres de sécurité. Un mot de passe propre au site des CAF, jamais réutilisé ailleurs, limite les dégâts d'une autre fuite. FranceConnect offre une seconde porte d'entrée sûre. La caisse détaille ces gestes dans l'avis de sécurité publié par la Cnaf sur caf.fr.

Signaler et garder des traces

Un SMS frauduleux se transfère gratuitement au 33700, un faux site se signale sur la plateforme Pharos. Une victime qui a déjà transmis ses identifiants change immédiatement son mot de passe, prévient sa caisse et sa banque, puis suit le parcours d'assistance de Cybermalveillance.gouv.fr.

Qui est responsable et quelles mesures prend la Cnaf ?

La responsabilité reste à établir : la Cnaf, qui pilote le réseau, le prestataire qui héberge Vacaf et les structures dont les accès auraient servi. L'organisme promet d'informer individuellement chaque personne concernée dès que le périmètre de l'incident sera connu, avec des recommandations contre l'escroquerie.

Cette affaire n'est pas la première. En février 2024, la Cnaf confirmait déjà des accès illégitimes à plusieurs milliers de comptes d'allocataires en France. En décembre 2025, après une revendication de piratage, la Cnaf affirmait n'avoir constaté aucune intrusion et aucune atteinte à son système d'information, les fichiers provenant selon elle d'autres administrations.