Un service public annexe visé, la CAF ouvre une cellule de crise
La Caisse nationale des allocations familiales (Cnaf) a confirmé avoir été alertée début octobre d'une mise en vente sur un forum de cybercriminels portant sur des données issues de la plateforme Vacaf, service distinct du site principal caf.fr et géré par la Caf de l'Hérault pour l'ensemble du réseau national, indique le média Actual-Immo. Par précaution, l'accès au site Vacaf a été coupé et une cellule de crise a été mise en place, selon la même source.
Ce que révèlent les extraits publiés
Les extraits examinés par Actual-Immo et cités par FrenchBreaches montrent des éléments sensibles et directement liés aux prestations :
- noms et prénoms d'enfants et parfois de leurs parents ;
- dates de naissance des mineurs ;
- quotient familial et montants d'aide versés ;
- dates de séjour et reste à charge pour les familles ;
- ou, selon plusieurs médias, le numéro de dossier CAF.
Le pirate revendique précisément 1 191 967 dossiers d'aide aux vacances, 97 269 fiches « Pass Colo » et 101 322 inscriptions à des séjours pour enfants, issues de 58 caisses sur 96 (chiffres rapportés par Actual-Immo et FrenchBreaches).
Origine de l'incident et responsabilités
Selon les éléments publiés, l'incident porte sur le service Vacaf opéré pour le compte de la Cnaf par la Caf de l'Hérault et hébergé par un prestataire externe. Aucune preuve publique, à la mi-octobre 2026, n'établit une intrusion directe sur les serveurs centraux de la Cnaf ; des hypothèses évoquent des identifiants compromis d'agents ou de structures partenaires ne disposant pas d'authentification forte, rappelle Actual-Immo.
La Cnaf a annoncé qu'elle déposait une plainte. La démarche judiciaire vise à établir les circonstances exactes, l'étendue des données prises et l'origine de la compromission — des éléments essentiels pour qualifier les responsabilités et évaluer les mesures correctrices nécessaires.
Conséquences pour les familles et risques attendus
La nature des informations publiées expose les foyers concernés à des risques concrets : tentatives d'usurpation d'identité, hameçonnage ciblé, voire usages frauduleux des dossiers administratifs. Les données sur des mineurs rendent la situation particulièrement sensible sur le plan éthique et juridique.
Actions entreprises et limites des réponses annoncées
En réponse, la Caf de l'Hérault et la Cnaf ont coupé l'accès à Vacaf et activé une cellule de crise; la Cnaf a également porté plainte, selon Actual-Immo. Ces premières mesures sont nécessaires mais ne suffisent pas à elles seules à protéger les personnes déjà exposées : la traçabilité de la diffusion, la prise en compte des doublons entre fichiers et l'évaluation du périmètre réel des dossiers restent à préciser.
Points de vigilance pour l'administration et les usagers
Plusieurs enseignements émergent déjà pour les acteurs publics et les prestataires :
- vérifier et renforcer les accès des agents et partenaires, notamment l'usage systématique de l'authentification à deux facteurs pour les connexions sensibles ;
- séparer les services annexes des systèmes centraux quand cela est possible et démontrer des mesures de confinement en cas d'incident ;
- publier rapidement un périmètre d'impact et des recommandations claires aux familles (procédures de signalement, contacts utiles).
| Chiffres revendiqués | Source |
|---|---|
| 1 191 967 dossiers d'aide Vacaf | Actual-Immo / FrenchBreaches |
| 97 269 fiches Pass Colo | Actual-Immo / FrenchBreaches |
| 101 322 inscriptions à des séjours pour enfants | Actual-Immo / FrenchBreaches |
| 58 caisses concernées (sur 96) | Actual-Immo / FrenchBreaches |
« Vacaf n'est pas le site caf.fr. » — Actual-Immo
La Cnaf et la Caf de l'Hérault sont attendues sur des réponses précises : calendrier d'information des personnes affectées, nature exacte des données exfiltrées et actions d'accompagnement — y compris pour les mineurs — ainsi que mesures techniques et contractuelles prises vis-à-vis du prestataire hébergeur. La plainte déposée devrait permettre, à terme, de faire la lumière sur l'origine de la fuite et les éventuelles responsabilités pénales ou civiles.
À l'échelle nationale, cette affaire souligne la vulnérabilité des services périphériques gérés par des prestataires externes et rappelle l'enjeu de la sécurisation des données sensibles liées aux prestations sociales. Les autorités de protection des données et les gestionnaires de caisses seront sous pression pour tirer les enseignements et éviter des récidives.
