Fuite de données Vacaf (CAF) : comment repérer un faux message « officiel » et où le signaler

Le 9 octobre 2026, le piratage de la plateforme Vacaf a été révélé. Vacaf est le service de la CAF utilisé par les familles pour les aides aux vacances et les colonies de vacances des enfants (Pass Colo). L'Express et 6Médias rapportent que le pirate affirme avoir dérobé les données d'environ 1,2 million de comptes dans 58 CAF locales ; la Cnaf n'a donné aucun chiffre. La Cnaf a confirmé l'incident et indique que l'accès à la plateforme a été suspendu. Elle précise également qu'aucune coordonnée bancaire ni aucun mot de passe de compte en ligne CAF n'a été dérobé, et que le versement des prestations ne sera pas affecté. Le site vacaf.org affiche actuellement un avis indiquant qu'il est fermé pour maintenance technique.

Le site spécialisé Fuites Infos rapporte les affirmations du pirate : environ 1,39 million d'enregistrements, comprenant des noms, les dates de naissance d'enfants, des numéros d'allocataire CAF (numéro allocataire), le quotient familial (quotient familial) et les montants des aides. Cette liste provient du pirate, et la Cnaf ne l'a pas confirmée.

Pourquoi c'est important, même sans avoir jamais utilisé Vacaf

Une fuite de données ne retire pas, à elle seule, d'argent d'un compte. Le danger réside dans ce qui suit généralement : des courriels, SMS et appels provenant de quelqu'un qui connaît le vrai nom d'une personne, le nom de son enfant ou son numéro CAF. Plus les informations sont exactes, plus le message est convaincant. Les faux messages sont particulièrement difficiles à repérer pour les personnes récemment arrivées en France, qui ne sont pas encore habituées à la manière dont les organismes publics français écrivent aux usagers.

Ce n'est pas la première fois. En mars 2024, la CNIL a enquêté sur une fuite de données chez France Travail. Elle a averti que les données divulguées peuvent être combinées avec celles de fuites antérieures, et qu'il faut donc rester vigilant à la fois dans l'immédiat et sur le long terme.

Comment repérer un faux message

Cybermalveillance.gouv.fr, le dispositif gouvernemental d'assistance aux victimes de cybermalveillance (fiche sur l'hameçonnage, mise à jour le 07/05/2026), recommande de :

• ne jamais communiquer d'informations confidentielles par courriel, messagerie ou téléphone ;
• survoler un lien avant de cliquer pour voir où il mène réellement ;
• vérifier que l'adresse du site correspond exactement à celle de l'organisme, car dans une fausse adresse, un seul caractère est parfois modifié ;
• contacter directement l'organisme en cas de doute.

Service-public (article du 28/08/2026) ajoute : ne jamais transmettre de codes, mots de passe ou coordonnées bancaires sur demande, et saisir soi-même l'adresse du site plutôt que de cliquer sur un lien reçu dans un message.

En cas de clic ou de saisie d'informations

Cybermalveillance.gouv.fr recommande les étapes suivantes :

1. En cas de saisie de coordonnées de paiement, appeler immédiatement sa banque pour faire bloquer la carte ou le compte.
2. Changer le mot de passe sur ce site et sur tout autre site où le même mot de passe a été utilisé.
3. Conserver les preuves : le message lui-même et des captures d'écran.
4. Déposer plainte (plainte) dans un commissariat de police ou une gendarmerie, ou auprès du procureur de la République.

Où signaler

• SMS frauduleux : les transférer au 33700 ou utiliser le site 33700.fr ;
• courriels suspects : signal-spam.fr ;
• faux sites web : phishing-initiative.fr ;
• ligne Info Escroqueries : 0 805 805 817 ;
• toute forme de cybermalveillance : 17cyber.gouv.fr (indiqué par service-public) ;
• aide gratuite aux victimes : France Victimes, 116 006, 7 jours par semaine, de 9 h du matin à 7 h du soir.

Sur le long terme

Service-public recommande des mots de passe longs et complexes, différents pour chaque site, conservés dans un gestionnaire de mots de passe. Il recommande également l'authentification à deux facteurs partout où elle est proposée, ainsi que des mises à jour régulières des logiciels et des appareils. Il est possible de demander aux organismes de supprimer ses données : il s'agit du droit à l'effacement, expliqué par la CNIL.

Le 1er octobre 2026, à l'occasion du Cybermois (mois de la cybersécurité), la CNIL et cybermalveillance.gouv.fr ont publié un guide intitulé « Violation de données personnelles, que faire en 3 étapes clés ? ». Il détaille les mesures à prendre depuis le jour où l'on apprend l'existence d'une fuite jusqu'au jour 30.

Sources : service-public.gouv.fr (publié le 28/08/2026), cybermalveillance.gouv.fr (mis à jour le 07/05/2026), CNIL (01/10/2026). Sur l'incident lui-même : L'Express / 6Médias, 10/10/2026 ; Fuites Infos, 09/10/2026.