Ce vendredi 9 octobre, un pirate informatique a affirmé avoir obtenu des fichiers liés à VACAF, un service gérant les aides aux vacances pour les Caisses d’allocations familiales (CAF), et les a mis en vente sur un forum cybercriminel. La fuite a été révélée par le site FrenchBreaches, qui a pu accéder à une partie des données. Ces fichiers pourraient contenir des informations sur des personnes ayant bénéficié des aides de la CAF pour des séjours en camping ou en colonies de vacances en 2026. Selon la Caisse nationale des allocations familiales (Cnaf), la CAF comptait 13,5 millions de bénéficiaires en 2023. Si l’affirmation du pirate concernant 1,1 million de fichiers est exacte, environ un bénéficiaire sur douze pourrait être concerné. Le pirate a indiqué détenir 1 191 967 fichiers de bénéficiaires, répartis sur 58 caisses, dans un réseau impliquant 101 caisses, soit environ une par département français. Parmi ces fichiers figurent 97 269 dossiers « Pass Colo », relatifs aux départs en colonie de vacances, et 101 322 inscriptions d’enfants pour des séjours. Les données concerneraient des bénéficiaires pour 2026, bien que ces chiffres correspondent à des lignes de fichiers, ce qui signifie qu’une même famille pourrait apparaître à plusieurs reprises. Selon Fuites Infos, qui a analysé un échantillon publié, le pirate évoquerait environ 1,1 million de numéros de bénéficiaires uniques. Les extraits accessibles incluent les noms et prénoms des parents et des enfants, les dates de naissance des mineurs, les numéros de bénéficiaires, les caisses associées, le quotient familial, les ressources du foyer, le nombre d’adultes et d’enfants, les montants des aides, ainsi que les dates et lieux des séjours. Les données révèlent également les revenus des familles, le nombre d’enfants et les lieux de vacances. Cependant, Fuites Infos n’a trouvé ni adresses e-mail, ni numéros de téléphone, ni adresses postales dans l’échantillon. Les réservations les plus récentes dans les données remontent au 7 octobre 2026. La CAF n’a pas encore confirmé la fuite. FrenchBreaches a examiné trois échantillons de 500 lignes chacun, contenant des informations structurées sur des familles et des mineurs. Toutefois, ces 1 500 lignes ne suffisent pas à vérifier le volume total revendiqué par le pirate. Ni la CAF de l’Hérault, qui gère VACAF pour l’ensemble du réseau, ni la Cnaf n’ont confirmé publiquement le piratage. Selon FrenchBreaches, le pirate aurait pu accéder à plusieurs comptes utilisateurs dépourvus d’authentification à deux facteurs, une mesure de sécurité consistant à ajouter un code à un mot de passe. Bien qu’aucune source officielle n’ait confirmé cette piste, elle est jugée plausible. Fin septembre, un rapport de l’ANSSI, l’agence française de cybersécurité, avait pointé des faiblesses de sécurité dans les systèmes informatiques des services publics, dont l’absence d’authentification à deux facteurs sur plusieurs plateformes. La CAF a déjà été confrontée à des incidents similaires, comme la publication en décembre 2025 d’un fichier contenant 22 millions de lignes attribuées à la CAF. À l’époque, la Cnaf avait démenti tout piratage, affirmant que les données provenaient d’administrations partenaires. Un fraudeur disposant du nom d’un enfant, du montant de l’aide et des dates de séjour pourrait utiliser ces informations pour envoyer un message frauduleux convaincant au nom de la CAF, afin de réclamer un prétendu trop-perçu. Pour l’instant, les familles n’ont aucun moyen de savoir si leurs fichiers sont concernés. En cas de réception d’un SMS, d’un e-mail ou d’un appel concernant les aides aux vacances, même si le message contient des informations exactes, il ne faut pas cliquer sur les liens et vérifier directement son dossier sur le site officiel de la CAF, caf.fr. Les bonnes pratiques en cas de piratage incluent le changement immédiat des mots de passe, l’utilisation de mots de passe uniques et robustes, l’activation de l’authentification à deux facteurs lorsque c’est possible, et la prudence face aux communications suspectes. Il est également conseillé de mettre à jour ses appareils et logiciels, et de signaler toute opération frauduleuse sur la plateforme Perceval.