Fuite de données CAF (Vacaf) : êtes-vous concerné ?
- Le 10 octobre 2026, la Cnaf a confirmé un incident de cybersécurité sur Vacaf, le service d'aides aux séjours des familles.
- Un vendeur revendique 1,39 million de lignes ; ce volume n'est pas confirmé par la Cnaf.
- Attendez-vous à de faux messages « CAF » : ne communiquez jamais un code reçu par SMS.
Résumer cet article avec :
En bref
- Date : incident signalé à la Cnaf le 9 octobre au soir, communiqué de la Cnaf le 10 octobre 2026. La plateforme vacaf.org a été suspendue à titre conservatoire.
- Ce qui est revendiqué (Fuites Infos, 9 octobre 2026) : 1 191 967 fiches d'allocataires, 97 269 lignes Pass Colo et 101 322 lignes d'enfants inscrits en séjours.
- Ce que dit la Cnaf : pas de données bancaires ni de mots de passe des services en ligne des Caf parmi les données concernées.
Que s'est-il passé ?
Dans son communiqué du 10 octobre 2026, la Cnaf indique avoir identifié un incident de cybersécurité sur Vacaf, après un signalement reçu la veille au soir. L'accès à la plateforme a été suspendu et une cellule de crise activée. La Cnaf annonce une plainte, l'information de l'ANSSI et de la CNIL, et une information individuelle des personnes concernées.
Le 9 octobre 2026, selon Fuites Infos, un acteur a mis en vente sur un forum cybercriminel une base attribuée à vacaf.org. D'après Ouest-France, le site restait inaccessible le 12 octobre. Le Parisien rapporte que des comptes sans double authentification auraient été ciblés ; la Cnaf n'a pas détaillé ce point.
Ce qui a fuité
D'après l'échantillon décrit par Fuites Infos (revendication du vendeur, non confirmée par la Cnaf) : identité des allocataires et des enfants, date de naissance des enfants, numéro d'allocataire, caisse de rattachement, quotient familial, composition du foyer, montants d'aide et de séjour. Cet échantillon ne contenait ni adresse électronique, ni téléphone, ni adresse postale.
1,39 million de lignes ne veut pas dire 1,39 million de personnes : un même foyer apparaît dans plusieurs fichiers. Seule l'information individuelle annoncée par la Cnaf vous dira si vous êtes concerné.
Ce qu'un escroc peut en faire
Un message qui cite votre numéro d'allocataire, votre caisse ou un séjour réservé paraît authentique. L'escroc peut se faire passer pour la Caf pour réclamer des coordonnées bancaires, un « remboursement » à valider ou un code reçu par SMS. La Caf ne demande ni votre mot de passe ni un code reçu par SMS, par téléphone ou par message. Voir aussi comment vérifier un numéro qui vous appelle.
Que faire
- Ne répondez à aucun appel, SMS ou courriel qui évoque votre dossier Caf ou un séjour Vacaf, même si l'interlocuteur cite votre numéro d'allocataire.
- Pour toute démarche, tapez vous-même l'adresse du site officiel de votre Caf, jamais un lien reçu.
- Activez la double authentification et utilisez un mot de passe différent par service.
- Signalez un SMS suspect au 33700.
- Les gestes généraux et vos recours sont détaillés dans notre guide des fuites de données.
Vacaf n'est pas la seule fuite qui vous concerne
L'audit cherche votre email, votre téléphone et votre nom dans les bases de fuites, pas seulement celle-ci. Rapport sous 24 h.
- Votre email, votre téléphone et votre nom cherchés dans les bases de fuites, là où les outils gratuits s'arrêtent
- Les données exactes qui ont fuité, mots de passe compris (masqués)
- Ce qu'un escroc peut faire avec, et comment le repérer
- Votre plan d'action pas à pas, et vos recours avec un modèle de courrier
Niveau d'exposition
Critique
7
fuites confirmées
Opérateur télécom (fichier clients)
2026 · gravité élevée
- Téléphone
- 06 12 •• •• 34
- IBAN
- FR76 •••• •••• •••• ••42
+ 6 autres fuites, dont une liste de mots de passe volés et un réseau social
Plan d'action
- Prévenir votre banque que votre IBAN a fuité
- Remplacer le mot de passe « Ma•••• » partout où il sert
- Activer la double authentification
Extrait d'un rapport type, données inventées — voir l'exemple complet
Voir un exemple d'audit réelQuestions fréquentes
Le nombre de personnes n'est pas confirmé. Un vendeur revendique 1,39 million de lignes, dont 1 191 967 fiches d'allocataires (Fuites Infos, 9 octobre 2026). C'est un volume de lignes, pas de victimes, et la Cnaf ne l'a pas confirmé à la date du 22 octobre 2026. Le Parisien parle de 1,2 million de fichiers de bénéficiaires (10 octobre 2026).
Selon la Cnaf (communiqué du 10 octobre 2026), ni les données bancaires des allocataires ni les mots de passe d'accès aux services en ligne des Caf ne figurent parmi les données concernées.
D'après la Cnaf, le versement des prestations n'est pas affecté. Les séjours déjà réservés sont maintenus ; les nouvelles réservations ont été suspendues pendant les investigations.
La Cnaf annonce une information individuelle des personnes concernées. Méfiez-vous des faux messages qui prétendent vous en informer : ouvrez vous-même le site de votre Caf. Pour savoir ce qui circule à votre nom au-delà de cette fuite, l'audit cherche dans plusieurs bases.
Des informations précises sur un foyer (allocataire, caisse, composition de la famille, séjour) rendent un faux message plus crédible : il peut se présenter comme la Caf et réclamer des coordonnées bancaires ou un code reçu par SMS.
Savoir précisément ce qui circule à votre nom
Vos mots de passe, votre IBAN, votre adresse circulent déjà. L'audit remonte ce qui est exposé à votre nom, et sur quels sites.
Pour aller plus loin
Sources : Cnaf (caf.fr), « Incident de cybersécurité concernant le service Vacaf » (10/10/2026) ; Fuites Infos, « VACAF : fuite de données revendiquée portant sur 1,39 million de lignes » (09/10/2026) ; Le Parisien (10/10/2026) ; Ouest-France (12/10/2026). Les volumes sont ceux d'un vendeur, non confirmés par la Cnaf à la date du 22/10/2026. Mis à jour le 28 octobre 2026.