Fuite de données Vacaf (CAF) : les familles concernées et ce qu'il faut faire

Le 10 octobre 2026, la Cnaf a confirmé une fuite de données sur Vacaf, le service d'aide aux vacances des Caf. Noms des allocataires et de leurs enfants, quotients familiaux et informations sur les séjours sont potentiellement concernés. Pas de données bancaires selon les premières analyses. Le danger immédiat : des faux SMS et appels « CAF » très bien renseignés.

Vacaf permet aux familles éligibles de financer une partie de leurs vacances ou le départ de leurs enfants en séjour et en colonie. L'aide est attribuée selon le quotient familial, ce qui en fait un dispositif tourné vers les foyers aux revenus modestes. Ce sont précisément ces familles, habituées à recevoir des courriers de la Caf et à régler un reste à charge auprès d'un centre de vacances, qui sont les cibles idéales d'un message frauduleux. Voici ce qui est établi, ce qui ne l'est pas, et l'ordre des gestes utiles.

Ce que la Cnaf a confirmé, et ce qu'elle n'a pas confirmé

Dans son communiqué de presse du 10 octobre 2026, la Caisse nationale des allocations familiales explique qu'une fuite concernant les données des bénéficiaires du dispositif a été signalée « hier soir », soit le 9 octobre. La plateforme vacaf.org, hébergée par un prestataire externe et pilotée par la Caf de l'Hérault pour l'ensemble du réseau, a été suspendue à titre conservatoire. Une cellule de crise a été activée, une plainte annoncée, et l'ANSSI comme la CNIL ont été informées.

Le 12 octobre, le ministère des Solidarités a précisé la nature des informations potentiellement compromises : les noms des allocataires et de leurs enfants, les quotients familiaux et les informations relatives aux réservations et aux séjours. Il ajoute que l'ANSSI accompagne la Cnaf dans les investigations et la sécurisation des systèmes.

Un point mérite votre attention. La Cnaf écrit que ses premières analyses « confirment » l'absence de données bancaires et de mots de passe. Le Gouvernement est plus prudent : aucun élément ne l'indique, « sans qu'il soit encore possible de l'exclure formellement ». Tant que l'enquête n'est pas close, considérez donc ce point comme probable, pas comme acquis.

La revendication du pirate, à prendre avec précaution

Selon MacGeneration, qui relaie l'analyse du site spécialisé FrenchBreaches, un pirate met en vente 1 191 967 dossiers d'aides aux vacances répartis entre 58 Caf, ainsi que 97 269 fiches liées au Pass Colo et 101 322 enregistrements de séjours pour enfants. L'échantillon examiné contiendrait les noms et prénoms des parents et des enfants, des dates de naissance, des numéros de dossier Caf, des quotients familiaux, des montants d'aide et les dates et lieux de séjour.

Ces chiffres n'ont pas été confirmés par la Cnaf. Un même foyer peut aussi apparaître dans plusieurs dossiers, ce qui signifie que 1,2 million de dossiers ne correspond pas forcément à 1,2 million de familles. Enfin, aucune source ne permet d'affirmer à ce jour que des adresses e-mail, des numéros de téléphone ou des adresses postales figurent dans le fichier.

Suis-je concerné ?

La Cnaf a promis d'informer individuellement chaque personne concernée dès que le périmètre de l'incident sera consolidé, sans donner de calendrier. Au 19 octobre 2026, nous n'avons trouvé aucune communication publique indiquant que ces notifications ont commencé. En attendant, la règle prudente est simple : si votre foyer a bénéficié d'une aide aux vacances de la Caf, ou si vous avez inscrit un enfant à un séjour ou une colonie financée via Vacaf, considérez que vos données ont pu être exposées.

Le fait que l'e-mail et le téléphone ne soient pas cités ne vous met pas à l'abri. Votre numéro de mobile et votre adresse figurent très probablement déjà dans d'autres bases, fuites antérieures ou fichiers commerciaux. Un escroc n'a qu'à rapprocher les deux pour vous joindre avec un message qui cite le prénom de votre fille et le nom de son centre de vacances. C'est pour réduire ce matériau d'appoint que vous pouvez faire adresser des demandes d'effacement à plus de 100 courtiers de données qui revendent vos coordonnées, avec relance de ceux qui tardent.

À quoi ressemblera un faux message « CAF » ou « Vacaf » ?

L'objectif d'un escroc n'est pas de pirater votre compte Caf, mais de vous amener à fournir ce qu'il n'a pas : vos coordonnées bancaires, un code de validation, un paiement. Voici un exemple fictif, construit uniquement avec les informations que le pirate dit détenir :

• Le prénom, le lieu et les dates sont exacts. Ils proviennent du fichier volé et ne prouvent en rien l'origine du message.
• Il utilise l'incident réel comme prétexte. Une fuite très médiatisée est l'excuse parfaite pour demander une « revalidation ».
• La somme demandée est petite, la menace est grande. Régler un petit solde paraît raisonnable face au risque de perdre toute l'aide. La page de paiement, elle, récupère votre carte complète.
• Le lien ne mène pas à caf.fr. Un nom de domaine qui contient « caf » ou « vacaf » n'a rien d'officiel. Rappelons qu'au moment de la publication, vacaf.org lui-même est suspendu.

La variante la plus dangereuse ne contient aucun lien : elle vous demande de rappeler un numéro, où un faux agent « sécurise votre dossier » et vous fait lire un code reçu par SMS. Ce scénario est décrit en détail dans notre article sur le faux conseiller bancaire et l'usurpation de numéro.

Donnée exposée, risque concret, parade

Le plan d'action pour les familles, par priorité

Ces mesures reprennent les consignes de vigilance de la Cnaf et la fiche réflexe hameçonnage de Cybermalveillance.gouv.fr. Elles s'appliquent dès maintenant, que vous ayez reçu un courrier de la Caf ou non.

Aujourd'hui

• 1. Passez uniquement par les canaux officiels. Pour toute question sur vos aides ou vos prestations, connectez-vous à caf.fr en tapant l'adresse vous-même, ou ouvrez l'application officielle de la Caf. Aucun lien reçu par SMS ou e-mail ne doit servir de point d'entrée.
• 2. Ne payez aucun « solde » ni « frais de dossier » suite à un message. Si un reste à charge existe vraiment pour un séjour, le centre de vacances vous le confirmera au numéro figurant sur votre réservation.
• 3. Prévenez le reste de la famille. L'autre parent, les adolescents qui ont un téléphone, les grands-parents qui gardent les enfants pendant les vacances : tous peuvent être contactés au nom de la Caf ou du centre. Un modèle de message figure plus bas.

Cette semaine

• 4. Signalez chaque tentative. Transférez gratuitement les SMS frauduleux au 33700 et supprimez-les ensuite. Vos signalements aident les opérateurs à bloquer les numéros utilisés.
• 5. Changez votre mot de passe Caf par précaution, et partout où vous l'aviez réutilisé. Même si les mots de passe ne semblent pas touchés, le Gouvernement n'a pas encore pu l'exclure formellement.
• 6. Surveillez votre espace Caf et votre courrier. C'est par ces canaux que la notification officielle a le plus de chances d'arriver. Gardez-la précieusement : elle établit que vos données faisaient partie du périmètre.

Dans les mois qui viennent

• 7. Anticipez la saison des réservations. Les messages piégés auront le plus d'impact au moment où vous attendrez réellement des nouvelles de la Caf ou d'un centre : vacances d'hiver, de printemps, puis campagne d'été 2027. Restez aussi vigilant qu'aujourd'hui.
• 8. Contrôlez vos relevés bancaires. Au moindre prélèvement ou paiement inconnu, appelez votre banque au numéro figurant au dos de votre carte ou dans votre application, et faites opposition.
• 9. En cas d'escroquerie ou d'usurpation, conservez captures et messages, portez plainte et suivez notre guide usurpation d'identité : que faire dans les 48 heures. Si la Caf ne répond pas dans un délai d'un mois à une demande d'accès à vos données (article 15 du RGPD), vous pouvez saisir la CNIL par voie de plainte.

Modèle de message à envoyer à vos proches

Vous pouvez aussi faire le point sur votre propre adresse : vérifiez gratuitement si votre e-mail apparaît déjà dans des fuites connues. Notre article fuite de données : comment savoir si votre e-mail est concerné vous aide à interpréter le résultat.

Et maintenant, quels recours ?

La Cnaf, en tant que responsable de traitement, doit documenter la violation, la notifier à la CNIL et informer les personnes lorsque le risque est élevé : c'est ce qu'elle a annoncé. Vous pouvez de votre côté exercer votre droit d'accès (article 15 du RGPD) en écrivant à votre Caf, pour savoir précisément quelles informations vous concernant figuraient dans le périmètre.

Une indemnisation n'est jamais automatique : elle suppose une faute, un préjudice réel et un lien entre les deux, et elle relève d'un juge, pas de la CNIL. À la date de publication, nous n'avons connaissance d'aucune action collective annoncée pour cet incident. Ceci n'est pas un conseil juridique.

Questions fréquentes

Comment savoir si ma famille est concernée par la fuite Vacaf ?

La Cnaf n'a publié ni liste ni nombre de familles touchées. Elle a annoncé qu'elle informerait individuellement les personnes concernées dès que le périmètre de l'incident serait consolidé. En attendant, si vous avez bénéficié d'une aide aux vacances de votre Caf ou inscrit un enfant à un séjour via Vacaf, partez du principe que vos données ont pu être exposées et appliquez les précautions contre l'hameçonnage.

Mes prestations Caf vont-elles continuer d'être versées ?

Oui, selon la Cnaf. La plateforme Vacaf est hébergée par un prestataire externe et totalement séparée du système d'information qui gère et paie les prestations. Un message qui vous annonce une suspension de vos allocations à cause de l'incident est donc suspect.

Le séjour que j'ai réservé via Vacaf est-il maintenu ?

D'après le communiqué de la Cnaf du 10 octobre 2026, les séjours déjà réservés ne sont pas remis en cause. Seules les nouvelles réservations sur vacaf.org sont suspendues pendant les investigations. Pour toute question sur votre séjour, contactez le centre de vacances au numéro figurant sur votre confirmation de réservation, jamais celui d'un SMS reçu.

Faut-il changer mon mot de passe Caf ?

La Cnaf indique que les mots de passe des services en ligne des Caf ne figurent pas parmi les données concernées, et le Gouvernement précise qu'il n'est pas encore possible de l'exclure formellement. Le changer reste une précaution simple, en passant par caf.fr ou l'application officielle. C'est indispensable si vous utilisez ce mot de passe sur d'autres sites.

Les données de mes enfants peuvent-elles servir à une usurpation d'identité ?

Un nom, un prénom et, selon la revendication non confirmée du pirate, une date de naissance ne suffisent pas à ouvrir un compte bancaire ou un crédit en France, où une pièce d'identité est exigée. Le risque principal est ailleurs : rendre crédibles des messages adressés aux parents. Conservez la notification de la Caf lorsqu'elle arrivera : elle pourra servir de preuve si un usage frauduleux apparaît plus tard.