Imaginons un message qui évoque le séjour d’un enfant, cite sa date de naissance et invite ses parents à confirmer une réservation. Après la fuite qui a touché Vacaf, ces détails peuvent rendre une sollicitation frauduleuse crédible. C’est pour cette raison que la Caisse nationale des allocations familiales appelle les familles prévenues par courriel à se rendre directement sur caf.fr pour vérifier toute demande. Dans son bilan du 2 novembre, elle précise qu’aucune adresse électronique ou postale, aucun numéro de téléphone, aucune donnée bancaire et aucun mot de passe Caf n’ont été captés.
Ce qu’un compte de partenaire permettait de consulter
Vacaf met en relation les caisses et les organismes de vacances qui accueillent les familles ou leurs enfants. L’intrusion a commencé du côté des partenaires. Leurs identifiants avaient été volés et leurs comptes étaient accessibles sans seconde vérification. Une fois connectés, les attaquants ont exploité un défaut du site qui leur permettait de demander successivement de nombreux dossiers. Le rapport d’octobre de l’ANSSI, publié le 12 novembre, situe cette extraction entre le 8 et le 10 octobre.
L’agence évoque près de 1,2 million de dossiers, qui pouvaient notamment renseigner le quotient familial, les aides ou les réservations. De son côté, la Cnaf a compté les allocataires concernés et en a informé individuellement 1 619 893. Les deux organismes comptent des unités différentes. Si un autre message lui réclame un code de sécurité, la Cnaf recommande de garder ce code pour soi et de vérifier la demande depuis son espace personnel.
Le site a rouvert le 2 novembre
Le 10 octobre, la fermeture de la plateforme avait interrompu les nouvelles réservations. Les familles qui avaient déjà organisé un séjour pouvaient le maintenir, précisait alors la Cnaf dans son premier communiqué. Les prestations ont continué d’être versées pendant toute la fermeture : la Caf utilise un autre système pour gérer les paiements.
Vacaf a rouvert au public le 2 novembre après des tests d’intrusion. Parmi les protections mises en place figure désormais la double authentification. Pour les parents qui cherchent à vérifier une réservation ou un message, l’accès direct au service évite de confier leurs identifiants à un site imitant celui de la caisse.
