Quotient familial d’un foyer, rang de naissance de chaque enfant, prix d’une semaine en colonie ou somme qui reste à la charge des parents. En fin de semaine dernière, la CAF a encore été victime d’une attaque. Selon le pirate qui serait à l’origine de la brèche, plus d’un million de dossiers seraient concernés.
Vacaf débranché, une cellule de crise ouverte
La cible s’appelle Vacaf. Derrière ce nom peu connu du grand public se cache la plateforme qui gère les aides aux vacances des Caisses d’allocations familiales : on y trouve notamment les aides pour partir en famille, celles qui financent les séjours des enfants, et le Pass Colo, qui permet d’envoyer les plus jeunes en colonie.
L’alerte est partie le vendredi 9 octobre, quand le site spécialisé FrenchBreaches a repéré une revendication publiée sur un forum cybercriminel. Le pirate y affirme détenir 1 191 967 dossiers d’allocataires, répartis entre 58 caisses départementales, auxquels s’ajoutent 97 269 fiches Pass Colo et 101 322 inscriptions à des séjours pour enfants. La plateforme a pu examiner trois échantillons totalisant 1 500 enregistrements.
Le lendemain, la Caisse nationale des allocations familiales (Cnaf) a confirmé l’essentiel de la fuite, en suspendant l’accès à vacaf.org, et en activant une cellule de crise. Conformément aux obligations légales, l’ANSSI (l’agence nationale chargée de la cybersécurité) et la CNIL ont été prévenues. La Cnaf réfute pour l’instant le chiffre avancé par le pirate, et affirme que les données portent uniquement sur l’année 2026. Bonne nouvelle relative, selon les premières analyses de la Cnaf, ni les coordonnées bancaires ni les mots de passe des comptes en ligne des CAF ne font partie du lot. Le versement des prestations n’est pas affecté.
Pas de RIB, mais le kit parfait pour l’arnaque
Il serait tentant de se rassurer avec l’absence de données bancaires. Sauf que, comme d’habitude, l’ensemble des informations récoltées est une matière première idéale pour l’hameçonnage. D’autant plus que la présence de dates de naissance d’enfants et d’informations sensibles les concernant ajoute une couche d’inquiétude. Les identités de mineurs sont recherchées par les fraudeurs, précisément parce qu’une usurpation peut passer inaperçue pendant des années, jusqu’à ce que la victime atteigne l’âge d’ouvrir un compte ou de signer un premier contrat.
En attendant de plus amples informations de la part de la Cnaf, les réflexes de base s’imposent : se méfier de tout mail, SMS ou appel inattendu évoquant une aide aux vacances, ne jamais cliquer sur un lien reçu dans ce cadre, passer systématiquement par caf.fr ou l’application officielle, et ne communiquer ni identifiants ni pièces justificatives à un interlocuteur qui les sollicite. L’épisode a un goût de déjà-vu. En décembre 2025, des pirates revendiquaient déjà la compromission de 600 000 comptes de la CAF. Quelques semaines plus tard, France Travail reconnaissait une fuite touchant jusqu’à 43 millions de personnes.
