Fuite de données Vacaf : la Cnaf confirme un incident sur le service d'aide aux vacances
Le 10 octobre 2026, la Cnaf a confirmé un incident de cybersécurité sur Vacaf, le service d'aides aux séjours. Ce que l'on sait, les volumes revendiqués par un vendeur, et les réflexes à adopter.
L'essentiel
- Le 10 octobre 2026, la Cnaf a annoncé un incident de cybersécurité sur le service Vacaf, signalé la veille au soir. L'accès à la plateforme vacaf.org a été suspendu à titre conservatoire.
- Selon la Cnaf, ni les données bancaires des allocataires ni les mots de passe d'accès aux services en ligne des Caf ne figurent parmi les données concernées.
- Le vendeur de la base revendique 1,39 million de lignes. Ce volume n'est pas confirmé par la Cnaf et ne désigne pas un nombre de victimes.
- Des messages frauduleux qui citent votre numéro d'allocataire ou votre caisse sont à prévoir : ne communiquez rien à la suite d'un appel ou d'un SMS.
Que dit la Cnaf ?
Dans son communiqué du 10 octobre 2026, la Cnaf indique avoir identifié un incident de cybersécurité sur le service Vacaf, après un signalement reçu la veille au soir. L'accès à la plateforme a été suspendu à titre conservatoire et une cellule de crise a été activée.
La Cnaf annonce une plainte, l'information de l'ANSSI et de la CNIL, et une information individuelle des personnes concernées. Elle précise que le versement des prestations n'est pas affecté. Les séjours déjà réservés sont maintenus ; les nouvelles réservations sont suspendues pendant les investigations.
D'après Ouest-France, le site vacaf.org restait inaccessible le lundi 12 octobre 2026.
Quelles données sont en cause ?
Le 9 octobre 2026, selon Fuites Infos, un acteur a mis en vente sur un forum cybercriminel une base attribuée à vacaf.org. Les chiffres qui suivent sont ceux de cette publication, revendiqués par le vendeur et non confirmés par la Cnaf :
- 1,39 million de lignes réparties en trois fichiers : 1 191 967 fiches d'allocataires, 97 269 lignes Pass Colo et 101 322 lignes d'enfants inscrits en séjours ;
- 1 139 607 matricules distincts ;
- d'après l'échantillon décrit par Fuites Infos : identité des allocataires et des enfants, date de naissance des enfants (en grande majorité mineurs), numéro d'allocataire, caisse de rattachement, quotient familial, composition du foyer, montants d'aide et de séjour.
Toujours selon l'échantillon analysé par Fuites Infos, il ne contenait ni adresse électronique, ni numéro de téléphone, ni adresse postale. Le Parisien rapporte, pour sa part, que des comptes dépourvus de double authentification auraient notamment été ciblés ; la Cnaf n'a pas détaillé ce point dans son communiqué.
Ces volumes proviennent d'une publication d'attaquant, non confirmée par la Cnaf à la date du 22 octobre 2026. Seule l'information individuelle annoncée par la Cnaf vous dira si vous êtes concerné.
Quels risques pour les familles concernées ?
Des informations précises sur un foyer rendent un faux message plus crédible : un escroc peut se présenter comme la Caf, évoquer un séjour et réclamer des coordonnées bancaires ou un code reçu par SMS.
La Caf ne vous demandera pas votre mot de passe ni un code reçu par SMS par téléphone ou par message. En cas de doute, raccrochez et contactez votre caisse via son site officiel.
Vos mots de passe, votre IBAN, votre adresse circulent déjà sur des listes revendues. Voici lesquels, et sur quels sites.
Que faire ?
Questions fréquentes
Selon la Cnaf, ni les données bancaires des allocataires ni les mots de passe d'accès aux services en ligne des Caf ne figurent parmi les données concernées.
Le nombre n'est pas confirmé. Le vendeur de la base revendique 1,39 million de lignes, un volume de lignes et non de personnes, non confirmé par la Cnaf à la date du 22 octobre 2026.
D'après la Cnaf, l'incident n'a aucun impact sur leur versement.
La Cnaf annonce une information individuelle des personnes concernées. Méfiez-vous des faux messages qui prétendent vous en informer.
Pour aller plus loin
Sources
- Cnaf (caf.fr) : Communiqué : Incident de cybersécurité du service Vacaf (10 octobre 2026)
- Fuites Infos : VACAF : fuite de données revendiquée portant sur 1,39 million de lignes (9 octobre 2026)
- Le Parisien : Le site de la Caisse d'allocations familiales piraté (10 octobre 2026)
- Ouest-France : Fuite de données massive sur le site d'aide aux vacances de la CAF : que faire si vous êtes concerné (12 octobre 2026)
Article informatif. Les chiffres sont ceux communiqués par les sources citées à la date de publication et peuvent évoluer.