Une cyberattaque touche le programme français d'aide aux vacances

Un incident de cybersécurité a touché Vacaf, le programme d'aide aux vacances d'été géré par la Caisse nationale des allocations familiales (Cnaf) en France. Un pirate affirme avoir obtenu des informations sur près de 1,2 million de dossiers, dont des données personnelles concernant des familles et leurs enfants.

Un pirate propose les données à la vente en ligne

Selon le site FrenchBreaches, un pirate met en vente des fichiers contenant 1 191 967 dossiers d'aide aux vacances, répartis entre 58 CAF. Deux autres ensembles de données sont également concernés : 97 269 fichiers liés au Pass Colo et 101 322 enregistrements relatifs aux séjours d'enfants.

Le détail des données divulguées

Le site explique avoir examiné 1 500 lignes issues de ces fichiers : elles comprennent les noms et prénoms des parents et des enfants, les dates de naissance, les numéros de dossier CAF, les quotients familiaux, les montants des aides, ainsi que les dates et les lieux des séjours. Ces chiffres doivent toutefois être relativisés, car ils ne correspondent pas nécessairement à autant de personnes différentes.

La Cnaf réagit à la fuite

Les circonstances exactes de la fuite ne sont pas encore connues. La Cnaf explique avoir activé une cellule de crise et suspendu l'accès à vacaf.org afin d'empêcher de nouveaux accès non autorisés. Selon son analyse initiale, les coordonnées bancaires des bénéficiaires et les mots de passe permettant d'accéder aux services en ligne des CAF ne figurent pas parmi les données touchées.

Suites et conséquences pour les usagers

La CNIL et l'ANSSI ont été informées, tandis que la Cnaf a annoncé son intention de déposer plainte. Pour les bénéficiaires, la Cnaf précise que le versement des prestations n'est pas affecté, le système informatique chargé des paiements étant distinct de Vacaf. Les séjours déjà réservés restent valables.

De nouvelles réservations temporairement bloquées

Toutefois, les nouvelles réservations sur la plateforme sont provisoirement impossibles, sans date de réouverture annoncée. L'organisme prévoit de contacter les personnes concernées une fois l'ampleur de la fuite établie. Cet incident s'ajoute à une liste déjà longue de cyberattaques visant les administrations françaises.

Cyberattaques récentes contre des institutions françaises

En 2024, France Travail a été victime d'une intrusion susceptible de toucher les données de 43 millions de personnes. Plus récemment, France Titres, l'agence chargée des cartes d'identité et des passeports, a également été touchée. Cet été, des pirates ont aussi visé l'administration fiscale et le système éducatif national.