Les allocations de la Caf sont versées normalement ce mois-ci, et pourtant une partie de ses fichiers est à vendre. Ce paradoxe porte un nom : Vacaf. Ce service gère les aides qui permettent aux familles modestes de partir en vacances ou d'envoyer leurs enfants en colonie. Il tourne sur sa propre plateforme, vacaf.org, hébergée par un prestataire extérieur et pilotée par la Caf de l'Hérault pour le compte de tout le réseau.

Le vendredi 9 octobre au soir, le site spécialisé FrenchBreaches a repéré une annonce de vente de fichiers Vacaf sur un forum de cybercriminels. Le lendemain, la Caisse nationale des allocations familiales a confirmé un « incident de cybersécurité » dans un communiqué publié le 10 octobre. Elle a suspendu l'accès à vacaf.org, activé une cellule de crise, annoncé une plainte et informé l'ANSSI comme la CNIL.
 

Le vendeur affirme détenir 1 191 967 dossiers d'aides aux vacances, issus de 58 caisses. Il revendique aussi 97 269 fiches liées au Pass Colo et 101 322 inscriptions à des séjours d'enfants, d'après le relevé de FrenchBreaches repris par Clubic. Or 96 caisses adhéraient à Vacaf en 2025, selon la Caf de l'Hérault : si l'annonce dit vrai, les fichiers de six caisses adhérentes sur dix seraient concernés, le calcul est le nôtre.

Ces volumes ne se convertissent pas en victimes. Un dossier ne correspond pas forcément à une personne, et une même famille peut apparaître dans plusieurs fichiers, prévient FrenchBreaches. La Cnaf, de son côté, n'a communiqué à ce stade ni le nombre de familles touchées ni la liste des informations dérobées.

Le contenu se lit dans les échantillons. FrenchBreaches en a examiné trois, de 500 lignes chacun. Côté parents figurent le nom et le prénom de l'allocataire, son numéro de dossier Caf, sa caisse et son département. Côté enfants, l'identité de chacun est reliée au quotient familial des parents, au montant de l'aide accordée, aux dates du séjour et au reste à charge de la famille.

Selon le pirate, ces fichiers concernent les bénéficiaires de 2026. C'est le détail qui m'a le plus frappé, je l'avoue : il ne s'agit pas d'archives oubliées sur un serveur, mais des séjours de l'année en cours, ceux dont chaque famille garde un souvenir précis.
 

Mais pourquoi s'inquiéter, puisque ni RIB ni mot de passe ne figurent dans le lot ? La Cnaf l'assure : ses premières analyses écartent les données bancaires des allocataires et les mots de passe d'accès aux services en ligne des Caf. La nouvelle protège votre compte. Elle ne protège pas votre téléphone.

Pensons un instant comme un escroc. D'ordinaire, il lui manque ce qui rend un message crédible. Ici, il dispose du prénom de l'enfant, des dates de son séjour, du montant de l'aide et de la somme que la famille doit encore régler. Avec ce dernier chiffre, il peut réclamer le règlement par SMS ou par courriel en se faisant passer pour la Caf ou pour un centre de vacances, comme le souligne Clubic en s'appuyant sur FrenchBreaches.

D'ailleurs, la Cnaf elle-même appelle à la vigilance face aux tentatives d'escroquerie, d'hameçonnage ou d'usurpation d'identité qui pourraient exploiter le contexte. Vous voyez le piège ? Le faux message n'offre pas d'erreur grossière à repérer, puisque les détails qu'il cite sont vrais. Un solde de séjour à régler, une aide à « régulariser », une réservation à confirmer : le prétexte se fabrique sans effort.

La mise en garde n'est pas nouvelle. Après la fuite chez un prestataire de Carrefour, révélée fin septembre, l'enseigne avait elle-même prévenu ses clients contre de faux messages évoquant une livraison. Ici, l'appât est plus intime, parce qu'il touche aux vacances d'un enfant. Ce message ne vise pas que les parents. Beaucoup d'entre nous ont des enfants devenus parents à leur tour, ou des petits-enfants partis en colonie cet été. Un SMS qui cite leur prénom et leur séjour appelle chez vous le même réflexe que chez eux.
 

En revanche, rien ne change du côté des prestations. La plateforme Vacaf est séparée du système qui gère et paie les allocations, précise la Cnaf, et celles-ci continuent d'être versées normalement. Les séjours déjà réservés par Vacaf sont maintenus. Les nouvelles réservations sur vacaf.org, elles, sont suspendues, sans date de réouverture annoncée.
 

Vous n'avez rien à demander pour être fixé. La Cnaf annonce qu'elle informera individuellement les personnes concernées, avec la Caf de l'Hérault, dès qu'elle aura une vision consolidée du périmètre de l'incident. Elle leur communiquera alors les recommandations utiles. Un message qui prétend vous l'apprendre avant elle, et qui réclame un paiement, se range donc d'emblée parmi les suspects.

Le bon réflexe tient en un geste : ne pas toucher au lien et ouvrir soi-même son espace personnel sur caf.fr ou l'application officielle pour vérifier la demande. Une somme réclamée pour un séjour se vérifie aussi auprès du centre de vacances, au numéro figurant sur la confirmation de réservation déjà reçue. Et l'on ne transmet ni identifiant ni pièce justificative à un interlocuteur qui les sollicite par message.

Ces données risquent de resservir longtemps. Comme le rappelle le site des impôts dans sa fiche consacrée aux fuites, des données volées peuvent être revendues et réutilisées pendant des années. Début octobre, la ministre du Numérique a justement saisi la justice contre BrixHub, un site qui compile des fichiers piratés et fait payer leur effacement. Ce n'est pas la première alerte pour la Caf. En février 2024, l'organisme avait déjà confirmé des accès illégitimes à plusieurs milliers de comptes d'allocataires, rappelle Le Monde Informatique. La différence, cette fois, tient à la cible : pour vous tromper, les escrocs n'ont plus besoin de vos codes, il leur suffit de connaître les vacances de vos enfants.