Filtración de datos de Vacaf (CAF): cómo detectar un mensaje «oficial» falso y dónde denunciarlo

El 9 de octubre de 2026 salió a la luz un hackeo de la plataforma Vacaf. Vacaf es el servicio de la CAF que utilizan las familias para las ayudas para vacaciones y las colonias de vacaciones infantiles (Pass Colo). L'Express y 6Médias informan de que el pirata informático afirma haber obtenido datos de unas 1,2 millones de cuentas en 58 oficinas locales de la CAF; la Cnaf no ha dado ninguna cifra. La Cnaf ha confirmado el incidente e indica que se ha suspendido el acceso a la plataforma. También afirma que no se han sustraído datos bancarios ni contraseñas de las cuentas en línea de la CAF, y que el pago de las prestaciones no se verá afectado. Actualmente, vacaf.org muestra un aviso que indica que está cerrada por mantenimiento técnico.

El sitio especializado Fuites Infos recoge lo que afirma el pirata informático: unos 1,39 millones de registros, que incluyen nombres, fechas de nacimiento de menores, números de beneficiario de la CAF (numéro allocataire), cociente familiar (quotient familial) e importes de las ayudas. Esa lista procede del pirata informático y la Cnaf no la ha confirmado.

Por qué importa aunque no se haya usado nunca Vacaf

Una filtración de datos no retira dinero de ninguna cuenta por sí misma. El peligro está en lo que suele venir después: correos electrónicos, SMS y llamadas de alguien que conoce el nombre real de la persona, el nombre de sus hijos o su número de la CAF. Cuanto más exactos son los datos, más convincente resulta el mensaje. Las falsificaciones son especialmente difíciles de detectar para quienes acaban de llegar a Francia y aún no están acostumbrados a la forma en que los organismos públicos franceses se dirigen a la ciudadanía.

Esto ya ha ocurrido antes. En marzo de 2024, la CNIL investigó una filtración en France Travail. Advirtió de que los datos filtrados pueden combinarse con datos de filtraciones anteriores, por lo que es necesario mantenerse alerta tanto ahora como a largo plazo.

Cómo detectar una falsificación

Cybermalveillance.gouv.fr, el servicio público de asistencia a las víctimas de ciberdelincuencia (página sobre phishing, actualizada el 07/05/2026), recomienda:

• no facilitar nunca información confidencial por correo electrónico, aplicación de mensajería o teléfono;
• pasar el cursor por encima de un enlace antes de hacer clic para ver adónde lleva realmente;
• comprobar que la dirección del sitio web coincide exactamente con la del organismo, porque en una dirección falsa a veces solo se ha cambiado un carácter;
• en caso de duda, ponerse en contacto directamente con el organismo.

Service-public (artículo del 28/08/2026) añade: no enviar nunca códigos, contraseñas ni datos bancarios cuando se soliciten, y escribir uno mismo la dirección del sitio web en lugar de hacer clic en un enlace de un mensaje.

Si ya se ha hecho clic o se han introducido datos

Cybermalveillance.gouv.fr recomienda estos pasos:

1. Si se introdujeron datos de pago, llamar inmediatamente al banco para bloquear la tarjeta o la cuenta.
2. Cambiar la contraseña en ese sitio y en cualquier otro sitio donde se haya usado la misma.
3. Conservar las pruebas: el propio mensaje y capturas de pantalla.
4. Presentar una denuncia (plainte) en una comisaría de policía o en la gendarmerie, o ante el fiscal (procureur de la République).

Dónde denunciar

• SMS fraudulentos: reenviarlos al 33700 o utilizar el sitio web 33700.fr;
• correos electrónicos sospechosos: signal-spam.fr;
• sitios web falsos: phishing-initiative.fr;
• línea telefónica Info Escroqueries: 0 805 805 817;
• cualquier ciberdelito: 17cyber.gouv.fr (indicado por service-public);
• asistencia gratuita a las víctimas: France Victimes, 116 006, 7 días a la semana, de 9 de la mañana a 7 de la tarde.

A largo plazo

Service-public recomienda contraseñas largas y complejas, distintas para cada sitio y guardadas en un gestor de contraseñas. También recomienda la autenticación en dos pasos siempre que esté disponible y actualizar periódicamente el software y los dispositivos. Es posible pedir a los organismos que borren los datos personales: se trata del derecho de supresión, explicado por la CNIL.

El 1 de octubre de 2026, con motivo del Cybermois (mes de la ciberseguridad), la CNIL y cybermalveillance.gouv.fr publicaron una guía titulada «Violation de données personnelles, que faire en 3 étapes clés ?». Explica qué hacer desde el día en que se tiene conocimiento de una filtración hasta el día 30.

Fuentes: service-public.gouv.fr (publicado el 28/08/2026), cybermalveillance.gouv.fr (actualizado el 07/05/2026), CNIL (01/10/2026). Sobre el incidente en sí: L'Express / 6Médias, 10/10/2026; Fuites Infos, 09/10/2026.