Утечка данных Vacaf (CAF): как распознать фальшивое письмо «от администрации» и куда сообщать

9 октября 2026 года стало известно о взломе платформы Vacaf. Это сервис CAF, через который семьи получают помощь на отдых и путёвки в детские лагеря (Pass Colo). По данным L'Express и 6Médias (публикация), взломщик утверждает, что получил данные около 1,2 млн учётных записей в 58 отделениях CAF; число пострадавших Cnaf не называла. Cnaf подтвердила инцидент и сообщила, что доступ к платформе приостановлен. По её словам, банковские реквизиты и пароли от личных кабинетов CAF не утекли, а на выплату пособий инцидент не повлияет. Сейчас на vacaf.org висит сообщение о закрытии на техническое обслуживание.

Специализированный сайт Fuites Infos передаёт заявление взломщика: тот утверждает, что выгрузил около 1,39 млн строк, в том числе имена, даты рождения детей, номера allocataire, quotient familial и суммы помощи. Это слова самого взломщика, Cnaf такой состав данных не подтверждала.

Почему это касается не только тех, кто ездил в лагерь

Сама утечка ещё ничего не списывает со счёта. Опасность в том, что приходит после неё: письма, SMS и звонки, где отправитель знает настоящее имя, имя ребёнка или номер allocataire. Чем больше точных деталей, тем правдоподобнее выглядит сообщение. Тому, кто недавно во Франции и ещё не привык к французской переписке с ведомствами, такую подделку отличить особенно трудно.

Такое бывало и раньше. В марте 2024 года CNIL расследовала утечку из France Travail и предупреждала: утёкшие данные можно сопоставить с данными из прежних утечек, поэтому бдительность нужна и в ближайшее время, и надолго.

Как распознать фальшивку

Cybermalveillance.gouv.fr, государственная платформа помощи жертвам киберпреступлений (страница о фишинге, обновлена 07.05.2026), рекомендует:

• никогда не сообщать конфиденциальные данные по почте, в мессенджере или по телефону;
• прежде чем нажать на ссылку, навести на неё курсор и посмотреть, куда она ведёт на самом деле;
• проверять, что адрес сайта в точности совпадает с адресом организации: в адресе подделки бывает изменён всего один символ;
• при сомнении связаться с организацией напрямую.

Service-public (статья от 28.08.2026) добавляет: не отвечать на просьбы прислать коды, пароли или банковские данные и набирать адрес сайта вручную, а не переходить по ссылке из письма.

Если уже нажали или ввели данные

По рекомендациям cybermalveillance.gouv.fr:

1. Если ввели платёжные данные, сразу звонить в банк и блокировать карту или счёт.
2. Сменить пароль на этом сайте и везде, где стоял такой же.
3. Сохранить доказательства: само сообщение, скриншоты.
4. Подать жалобу (plainte) в комиссариат, жандармерию или прокурору.

Куда сообщать

• мошенническое SMS — переслать на 33700 или сообщить через сайт 33700.fr;
• подозрительное письмо — signal-spam.fr;
• поддельный сайт — phishing-initiative.fr;
• Info Escroqueries — 0 805 805 817;
• любое киберправонарушение — 17cyber.gouv.fr (указан на service-public);
• бесплатная помощь жертвам — France Victimes, 116 006, без выходных, с 9 до 19.

На будущее

Service-public советует ставить длинные и сложные пароли, на каждом сайте разные, хранить их в менеджере паролей, включать двухфакторную аутентификацию там, где она есть, и регулярно обновлять программы и устройства. У организаций можно требовать удалить свои данные: это право на удаление, которое разъясняет CNIL.

1 октября 2026 года, в рамках Cybermois, CNIL и cybermalveillance.gouv.fr выпустили памятку «Violation de données personnelles, que faire en 3 étapes clés ?». Она расписывает, что делать со дня, когда узнали об утечке, и до 30-го дня после неё.

Источники: service-public.gouv.fr (опубликовано 28.08.2026), cybermalveillance.gouv.fr (обновлено 07.05.2026), CNIL (01.10.2026). О самом инциденте: L'Express / 6Médias, 10.10.2026; Fuites Infos, 09.10.2026.