Violazione dei dati Vacaf (CAF): come riconoscere un falso messaggio «ufficiale» e dove segnalarlo

Il 9 ottobre 2026 è emerso un attacco informatico alla piattaforma Vacaf. Vacaf è il servizio della CAF utilizzato dalle famiglie per gli aiuti per le vacanze e per i centri vacanze dei bambini (Pass Colo). L'Express e 6Médias riferiscono che l'hacker sostiene di aver sottratto dati di circa 1,2 milioni di account in 58 sedi locali della CAF; la Cnaf non ha fornito alcun numero. La Cnaf ha confermato l'incidente e afferma che l'accesso alla piattaforma è stato sospeso. Dichiara inoltre che non sono stati sottratti dati bancari né password degli account online CAF, e che il pagamento delle prestazioni non subirà conseguenze. Al momento vacaf.org mostra un avviso di chiusura per manutenzione tecnica.

Il sito specializzato Fuites Infos riporta quanto affermato dall'hacker: circa 1,39 milioni di record, tra cui nomi, date di nascita dei bambini, numeri di beneficiario CAF (numéro allocataire), quoziente familiare (quotient familial) e importi degli aiuti. Questo elenco proviene dall'hacker e la Cnaf non lo ha confermato.

Perché è importante anche per chi non ha mai usato Vacaf

Una violazione dei dati, di per sé, non sottrae denaro dal conto di nessuno. Il pericolo è ciò che tende a seguire: email, SMS e telefonate da parte di qualcuno che conosce il nome reale della persona, il nome di suo figlio o il suo numero CAF. Più i dettagli sono precisi, più il messaggio risulta convincente. I falsi sono particolarmente difficili da riconoscere per chi è arrivato da poco in Francia e non ha ancora familiarità con il modo in cui gli enti pubblici francesi scrivono alle persone.

Non è la prima volta. Nel marzo 2024 la CNIL ha indagato su una violazione presso France Travail. Ha avvertito che i dati trafugati possono essere combinati con quelli di violazioni precedenti, per cui le persone devono restare vigili sia ora sia nel lungo periodo.

Come riconoscere un falso

Cybermalveillance.gouv.fr, il servizio governativo di assistenza alle vittime di criminalità informatica (pagina sul phishing, aggiornata il 07/05/2026), raccomanda di:

• non fornire mai informazioni riservate via email, app di messaggistica o telefono;
• passare il cursore su un link prima di cliccarlo per vedere dove porta realmente;
• verificare che l'indirizzo del sito corrisponda esattamente a quello dell'organizzazione, perché in un indirizzo falso a volte è stato modificato un solo carattere;
• in caso di dubbio, contattare direttamente l'organizzazione.

Service-public (articolo del 28/08/2026) aggiunge: non inviare mai codici, password o dati bancari quando vengono richiesti, e digitare personalmente l'indirizzo del sito invece di cliccare su un link contenuto in un messaggio.

Se si è già cliccato o inserito dei dati

Cybermalveillance.gouv.fr raccomanda i seguenti passaggi:

1. Se sono stati inseriti dati di pagamento, chiamare subito la propria banca per bloccare la carta o il conto.
2. Cambiare la password su quel sito e su tutti gli altri siti in cui è stata usata la stessa.
3. Conservare le prove: il messaggio stesso e gli screenshot.
4. Sporgere denuncia (plainte) presso un commissariato di polizia o una gendarmerie, oppure presso il pubblico ministero.

Dove segnalare

• SMS truffa: inoltrarli al 33700 o usare il sito 33700.fr;
• email sospette: signal-spam.fr;
• siti falsi: phishing-initiative.fr;
• linea telefonica Info Escroqueries: 0 805 805 817;
• qualsiasi reato informatico: 17cyber.gouv.fr (indicato da service-public);
• assistenza gratuita alle vittime: France Victimes, 116 006, 7 giorni su 7, dalle 9 alle 19.

Nel lungo periodo

Service-public raccomanda password lunghe e complesse, diverse per ogni sito, conservate in un gestore di password. Raccomanda inoltre l'autenticazione a due fattori ovunque sia disponibile e l'aggiornamento regolare di software e dispositivi. È possibile chiedere alle organizzazioni di cancellare i propri dati: si tratta del diritto alla cancellazione, illustrato dalla CNIL.

Il 1° ottobre 2026, in occasione del Cybermois (mese della sicurezza informatica), la CNIL e cybermalveillance.gouv.fr hanno pubblicato una guida intitolata "Violation de données personnelles, que faire en 3 étapes clés ?". La guida spiega cosa fare dal giorno in cui si viene a conoscenza di una violazione fino al giorno 30.

Fonti: service-public.gouv.fr (pubblicato il 28/08/2026), cybermalveillance.gouv.fr (aggiornato il 07/05/2026), CNIL (01/10/2026). Sull'incidente: L'Express / 6Médias, 10/10/2026; Fuites Infos, 09/10/2026.