Fuga de dados do Vacaf (CAF): como reconhecer uma falsa mensagem «oficial» e onde denunciá-la

A 9 de outubro de 2026 foi revelado um ataque informático à plataforma Vacaf. O Vacaf é o serviço da CAF que as famílias utilizam para as ajudas para férias e para as colónias de férias das crianças (Pass Colo). O L'Express e a 6Médias noticiam que o pirata informático afirma ter obtido dados de cerca de 1,2 milhões de contas em 58 CAF locais; a Cnaf não divulgou nenhum número. A Cnaf confirmou o incidente e indica que o acesso à plataforma foi suspenso. Afirma também que não foram obtidos dados bancários nem palavras-passe das contas online da CAF, e que o pagamento das prestações não será afetado. O vacaf.org apresenta atualmente um aviso a indicar que está encerrado para manutenção técnica.

O site especializado Fuites Infos relata o que o pirata informático afirma: cerca de 1,39 milhões de registos, incluindo nomes, datas de nascimento das crianças, números de beneficiário da CAF (numéro allocataire), quociente familiar (quotient familial) e montantes das ajudas. Essa lista provém do pirata informático e a Cnaf não a confirmou.

Porque é que isto importa mesmo para quem nunca utilizou o Vacaf

Uma fuga de dados, por si só, não retira dinheiro da conta de ninguém. O perigo está no que costuma vir a seguir: emails, SMS e chamadas de alguém que conhece o nome verdadeiro da pessoa, o nome dos filhos ou o número da CAF. Quanto mais exatos forem os dados, mais convincente é a mensagem. As falsificações são especialmente difíceis de detetar para quem chegou há pouco tempo a França e ainda não está habituado à forma como os organismos públicos franceses comunicam.

Isto já aconteceu antes. Em março de 2024, a CNIL investigou uma fuga de dados na France Travail. Alertou que os dados divulgados podem ser combinados com dados de fugas anteriores, pelo que é necessário manter a vigilância tanto agora como a longo prazo.

Como reconhecer uma falsificação

O cybermalveillance.gouv.fr, o serviço governamental de apoio às vítimas de cibercriminalidade (página sobre phishing, atualizada a 07/05/2026), recomenda:

• nunca fornecer informações confidenciais por email, aplicação de mensagens ou telefone;
• passar o cursor por cima de uma ligação antes de clicar, para ver para onde ela leva realmente;
• verificar se o endereço do site corresponde exatamente ao do organismo, porque num endereço falso por vezes apenas um carácter foi alterado;
• contactar diretamente o organismo em caso de dúvida.

O service-public (artigo de 28/08/2026) acrescenta: nunca enviar códigos, palavras-passe ou dados bancários quando solicitados, e escrever o endereço do site em vez de clicar numa ligação recebida numa mensagem.

Em caso de clique ou de introdução de dados

O cybermalveillance.gouv.fr recomenda os seguintes passos:

1. Se tiverem sido introduzidos dados de pagamento, telefonar imediatamente ao banco para bloquear o cartão ou a conta.
2. Alterar a palavra-passe nesse site e em qualquer outro site onde tenha sido utilizada a mesma.
3. Guardar as provas: a própria mensagem e capturas de ecrã.
4. Apresentar queixa (plainte) numa esquadra de polícia ou na gendarmerie, ou junto do procurador da República.

Onde denunciar

• SMS fraudulentos: reencaminhar para o 33700 ou utilizar o site 33700.fr;
• emails suspeitos: signal-spam.fr;
• sites falsos: phishing-initiative.fr;
• linha Info Escroqueries: 0 805 805 817;
• qualquer cibercrime: 17cyber.gouv.fr (indicado pelo service-public);
• apoio gratuito às vítimas: France Victimes, 116 006, 7 dias por semana, das 9 da manhã às 7 da tarde.

A longo prazo

O service-public recomenda palavras-passe longas e complexas, diferentes para cada site, guardadas num gestor de palavras-passe. Recomenda também a autenticação de dois fatores sempre que esteja disponível e a atualização regular do software e dos dispositivos. É possível pedir aos organismos que apaguem os dados: trata-se do direito ao apagamento, explicado pela CNIL.

A 1 de outubro de 2026, por ocasião do Cybermois (mês da cibersegurança), a CNIL e o cybermalveillance.gouv.fr publicaram um guia intitulado "Violation de données personnelles, que faire en 3 étapes clés ?". O guia abrange o que fazer desde o dia em que se toma conhecimento de uma fuga de dados até ao dia 30.

Fontes: service-public.gouv.fr (publicado a 28/08/2026), cybermalveillance.gouv.fr (atualizado a 07/05/2026), CNIL (01/10/2026). Sobre o incidente em si: L'Express / 6Médias, 10/10/2026; Fuites Infos, 09/10/2026.