Fuite de données Caf : ce que l’on sait de l’incident Vacaf et les réflexes à adopter

Une fuite de données Caf touche le service Vacaf, le dispositif d’aide aux vacances des familles. La Cnaf l’a confirmée le 10 octobre 2026. En revanche, personne n’a vérifié à ce jour le chiffre de 1,2 million de dossiers avancé par un pirate. Voici ce que l’on sait, ce qui reste à vérifier et les bons réflexes à adopter.

Fuite de données Caf : que s’est-il passé chez Vacaf ?

D’abord, les faits officiels. Dans un communiqué daté du 10 octobre 2026, la Caisse nationale des allocations familiales (Cnaf) signale un incident de cybersécurité. Il concerne Vacaf, le dispositif d’aide aux vacances des Caf.

Selon la Cnaf, un signalement de fuite des données des bénéficiaires lui est parvenu la veille au soir. Vacaf s’appuie sur la plateforme vacaf.org. Un prestataire externe l’héberge, et la Caf de l’Hérault la pilote pour l’ensemble du réseau.

La Cnaf a donc suspendu l’accès à la plateforme à titre conservatoire. Une cellule de crise réunit la Cnaf, Vacaf et la Caf de l’Hérault. De plus, la Cnaf a informé l’ANSSI et la CNIL, et elle annonce une plainte.

Fuite de données Caf : le chiffre de 1,2 million est-il confirmé ?

Non. Ce chiffre provient d’une revendication relayée par le site spécialisé FrenchBreaches, selon Le Monde Informatique. La Cnaf ne l’a pas confirmé à ce jour.

D’après MacG, le pirate proposerait à la vente 1 191 967 dossiers d’aides aux vacances, répartis sur 58 Caf. Le pirate revendiquerait aussi deux autres fichiers : 97 269 lignes liées au Pass Colo et 101 322 lignes de séjours d’enfants.

Toutefois, ces volumes comptent des dossiers, pas des personnes. Une même famille pourrait ainsi apparaître plusieurs fois. Le nombre réel de foyers touchés reste donc inconnu.

Quelles données seraient concernées ?

Ce que la Cnaf affirme

Le communiqué évoque une fuite de données des bénéficiaires du dispositif, sans en détailler la nature ni le volume. Le périmètre reste en cours d’évaluation.

En revanche, la Cnaf indique que la fuite n’inclut ni les données bancaires des allocataires, ni les mots de passe d’accès aux services en ligne des Caf.

Ce que revendique le pirate

Selon les éléments relayés par MacG, les fichiers contiendraient les noms et prénoms des parents et des enfants. Ils incluraient aussi les dates de naissance, les numéros de dossier Caf et les quotients familiaux.

Par ailleurs, les montants d’aide ainsi que les dates et lieux de séjour figureraient dans ces fichiers. La Cnaf n’a confirmé officiellement aucun de ces éléments à ce stade.

La fuite de données Caf menace-t-elle vos prestations ?

Non, selon la Cnaf. La plateforme Vacaf fonctionne à part du système de gestion et de paiement des prestations. Celui-ci continue donc de fonctionner normalement.

Les versements suivent leur cours habituel. Pour les dates, vous pouvez consulter notre calendrier des paiements Caf en 2026.

Côté vacances, la Cnaf maintient les séjours déjà réservés via Vacaf dans les conditions prévues. En revanche, elle suspend les nouvelles réservations le temps des investigations. Elle n’avait annoncé aucune date de réouverture lors de nos vérifications.

Pourquoi cette fuite de données Caf expose-t-elle à l’hameçonnage ?

Des noms, des dates de naissance ou un numéro de dossier suffisent pour rédiger un faux message crédible. La Cnaf appelle d’ailleurs à rester vigilant face aux tentatives d’escroquerie, d’hameçonnage ou d’usurpation d’identité.

La CNIL rappelle aussi que les messages frauduleux peuvent sembler très réalistes, car ils réutilisent des données volées. Un SMS qui cite votre nom et celui de vos enfants n’est donc pas une preuve d’authenticité.

Un cas pratique : le faux remboursement de séjour

Prenons un exemple fictif. Une mère de deux enfants reçoit un SMS : « Suite à l’incident Vacaf, vous devez revalider votre aide de 350 €. » Un lien renvoie vers une page aux couleurs de la Caf.

Le message cite le prénom de sa fille et la date de son séjour d’été. Pourtant, la Cnaf a indiqué qu’elle informerait individuellement les personnes concernées, sans annoncer de lien à suivre. Le bon réflexe est donc de ne pas cliquer et de se connecter soi-même à caf.fr.

Quels réflexes adopter face aux faux SMS, mails et appels ?

Le site Cybermalveillance.gouv.fr résume les règles de base. Ainsi, une organisation sérieuse ne demande jamais de données bancaires ni de mots de passe par message ou par téléphone.

• Ne cliquez sur aucun lien et n’ouvrez aucune pièce jointe d’un message douteux.
• Tapez vous-même l’adresse caf.fr dans votre navigateur, ou utilisez un favori créé par vos soins.
• En cas de doute sur un appel, raccrochez et contactez votre Caf par ses canaux habituels.
• Ne communiquez jamais un code reçu par SMS, ni vos coordonnées bancaires.
• Utilisez un mot de passe unique par service et activez la double authentification lorsqu’elle existe.

Enfin, la CNIL conseille de prévenir vos proches, en particulier les personnes âgées ou peu à l’aise avec Internet. Elle déconseille aussi les sites qui prétendent vérifier si vous figurez dans un fichier piraté.

Où signaler un message suspect ?

Plusieurs canaux gratuits existent. D’abord, un SMS frauduleux se transfère au 33700, selon Cybermalveillance.gouv.fr. Ensuite, un courriel douteux se signale sur la plateforme Signal Spam.

• 33700 : signalement des SMS frauduleux (transfert du message ou site 33700.fr).
• Signal Spam : signalement des courriels indésirables ou frauduleux.
• Phishing Initiative : signalement de l’adresse d’un faux site.
• 17Cyber : assistance gratuite en ligne pour les victimes.
• Info Escroqueries : 0 805 805 817 (appel gratuit), du lundi au vendredi.

Que faire si vous avez été piégé ?

Agissez vite. Si vous avez transmis vos coordonnées bancaires ou constaté un débit suspect, faites immédiatement opposition auprès de votre banque. Par ailleurs, la plateforme Perceval permet de signaler une fraude à la carte bancaire.

Si vous avez donné un mot de passe, changez-le tout de suite. Faites de même sur tous les services où vous l’utilisiez, en priorité la messagerie, la banque et les impôts.

Conservez ensuite toutes les preuves : messages, captures d’écran, adresses de sites. Vous pourrez alors porter plainte au commissariat ou à la gendarmerie, comme le détaille la fiche réflexe de Cybermalveillance.gouv.fr.

En cas d’usurpation d’identité, la CNIL recommande aussi de consulter le fichier FICOBA depuis votre espace sur impots.gouv.fr. Vous vérifierez ainsi qu’aucun compte n’a été ouvert à votre nom. France Victimes vous accompagne gratuitement au 116 006.

Côté collectivités : comment accompagner les familles ?

Les mairies, CCAS et structures d’accueil reçoivent souvent les familles inquiètes. Leur rôle consiste d’abord à relayer les informations officielles, sans amplifier les chiffres non confirmés.

Par exemple, les agents d’accueil peuvent rappeler que la Caf verse normalement les prestations. Ils peuvent aussi orienter les publics fragiles vers 17Cyber ou Info Escroqueries. Les gestionnaires de centres de vacances partenaires peuvent, de leur côté, prévenir leurs équipes contre les faux appels.

Ce type d’incident se répète. Nous avions déjà détaillé les réflexes à adopter après la fuite de données à la DGFiP.

Fuite de données Caf : ce qu’il faut retenir

• La Cnaf a confirmé le 10 octobre 2026 une fuite de données des bénéficiaires du service Vacaf.
• La Cnaf ne confirme pas le chiffre d’environ 1,2 million de dossiers, revendiqué par un pirate.
• Selon la Cnaf, la fuite n’inclut ni les données bancaires ni les mots de passe des services en ligne Caf.
• La Caf verse normalement les prestations et maintient les séjours réservés.
• La Cnaf ou la Caf de l’Hérault informeront individuellement les personnes concernées.
• Méfiez-vous des SMS, mails et appels, et signalez-les au 33700, sur Signal Spam ou via 17Cyber.

Sources : Cnaf, communiqué du 10 octobre 2026 ; CNIL ; Cybermalveillance.gouv.fr ; Le Monde Informatique ; MacG (consultés le 17 octobre 2026). Photos : FlyD, Sasun Bughdaryan / Unsplash.