En bref
- Ce qui s'est passé. Le 10 octobre 2026, la Cnaf a confirmé au Parisien qu'une fuite concernant les données des bénéficiaires du dispositif Vacaf avait été signalée la veille au soir. L'accès à la plateforme vacaf.org a été suspendu à titre conservatoire.
- Qui est concerné. Des familles bénéficiaires du dispositif Vacaf. La Caf indique qu'elle informera individuellement les personnes concernées. Les prestations des Caf continuent d'être versées normalement.
- Que faire :
- méfiez-vous des e-mails, SMS et appels qui citent cet incident ou se présentent au nom de l'organisation, surtout s'ils réclament un paiement, un code ou des coordonnées bancaires ;
- en cas de doute, ne cliquez pas : contactez l'organisation par son site ou son numéro officiel ;
- si vous aviez un compte et réutilisez ce mot de passe ailleurs, changez-le sur les autres services et activez la double authentification quand elle est proposée ;
- un message qui évoque vos vacances, un séjour d'enfant ou une aide Caf pour demander un paiement ou des identifiants doit être vérifié dans votre espace Caf, sans passer par le lien reçu ;
- surveillez vos comptes et relevés dans les semaines qui viennent ; en cas d'escroquerie, appuyez-vous sur cybermalveillance.gouv.fr.
Détail technique
Données concernées
La Cnaf parle de données des bénéficiaires du dispositif, sans en publier le détail. Selon ses premières analyses, ni les données bancaires des allocataires ni les mots de passe d'accès aux services en ligne des Caf ne figurent parmi les données concernées.
Périmètre
Le dispositif Vacaf est piloté par la Caf de l'Hérault pour de nombreuses caisses. Selon la Cnaf, l'incident n'a aucun impact sur le système d'information des Caf.
Mesures annoncées par l'organisation
La plateforme vacaf.org a été suspendue pour sécuriser l'environnement. Une plainte va être déposée. Les séjours réservés avant l'incident sont maintenus ; les nouvelles réservations sont temporairement suspendues pendant les investigations.
Ce qu'une équipe IT peut vérifier
- pour les organismes de vacances et centres partenaires de Vacaf, prévenez les équipes d'accueil : de faux messages au nom de la Caf ou de Vacaf peuvent cibler les familles ;
- vérifiez que les comptes partenaires sur les plateformes sociales utilisent la double authentification ;
- ne transmettez aucune liste de familles ou d'enfants par e-mail en réponse à une demande non vérifiée.