Un pirate informatique a mis en vente, vendredi 9 octobre 2026, sur un forum cybercriminel, 1,2 million de fichiers de bénéficiaires de la Caisse d’allocations familiales. Le nombre exact de dossiers concernés s’élève précisément à 1 191 967, répartis entre 58 caisses CAF, selon les informations obtenues par Le Parisien, qui confirme une révélation du site spécialisé French Breaches.
Le piratage vise vacaf.org, le dispositif d’aide au départ en vacances pour les familles modestes, piloté par la Caf de l’Hérault. Samedi 10 octobre, le site était inaccessible aux internautes.
Dans un communiqué, la Caisse nationale d’allocations familiales (Cnaf) a confirmé l’incident, indiquant que la veille au soir, une fuite concernant les données des bénéficiaires de ce dispositif avait été signalée et que l’accès à la plateforme vacaf.org avait été rapidement suspendu à titre conservatoire afin de sécuriser l’environnement et de prévenir tout nouvel accès non autorisé.
Une cellule de crise a été activée. L’organisme n’a toutefois donné aucun chiffre officiel, le bilan de 1,2 million de comptes restant pour l’heure une revendication du pirate, non confirmée par la Cnaf.
Des données sur des mineurs, un risque d’hameçonnage
Les informations exposées comprennent les identités et dates de naissance de mineurs, des matricules Caf, des quotients familiaux, la composition des foyers, le détail d’aides financières et de réservations de vacances. 97 269 fiches liées au Pass Colo et 101 322 lignes d’inscriptions à des séjours pour enfants seraient également concernées. Des comptes dépourvus de double authentification auraient été particulièrement ciblés.
La Cnaf précise en revanche que « les premières analyses confirment d’ores et déjà que ni les données bancaires des allocataires ni les mots de passe d’accès aux services en ligne des Caf ne figurent parmi les données concernées ». L’incident n’a aucune conséquence sur le versement des prestations, qui continuent d’être réglées normalement.
French Breaches, le site ayant révélé l’attaque, juge le dossier particulièrement sensible parce qu’il concerne des enfants, estimant que les informations présentées pourraient notamment être exploitées pour mener des campagnes d’hameçonnage ciblées, en se faisant passer pour la CAF, VACAF ou un organisme de vacances. L’organisme indique qu’il informera individuellement les personnes concernées dès qu’il disposera d’une vision consolidée du périmètre, avec des recommandations pour se prémunir contre l’escroquerie et l’usurpation d’identité.
Sur le plan opérationnel, les nouvelles réservations via vacaf.org sont suspendues le temps des investigations et des opérations de sécurisation. Les séjours déjà réservés avant le piratage restent en revanche maintenus. Une plainte doit être déposée dans les prochaines heures, et l’Agence nationale de la sécurité des systèmes d’information ainsi que la Cnil ont été informées.
Une succession d’attaques contre les services publics
Ce n’est pas la première fois que la Caf est touchée. En décembre 2025, elle avait déjà subi une fuite de données via le piratage du dispositif Pass’sport, porté par le ministère des Sports. Avant Vacaf, l’administration fiscale, l’Éducation nationale, le ministère de la Transition écologique et le Service national universel avaient eux aussi été visés par des cyberattaques.
Face à cette accumulation d’incidents, le Premier ministre Sébastien Lecornu avait réclamé, le 19 août 2026, la création d’une « unité de première intervention, engagée dès la violation d’un accès sensible et présente jusqu’au rétablissement ». Plus tard, c’est un dispositif destiné aux familles modestes partant en vacances qui se retrouve exposé, avec plus d’un million d’allocataires potentiellement concernés.
