Incident de cybersécurité concernant Vacaf : la Cnaf présente les conclusions de ses investigations et les mesures engagées

Ces investigations permettent désormais d’établir la nature des données concernées, d’informer individuellement les allocataires

Personnes qui perçoivent déjà des prestations de la Caf ou qui vont en percevoir (en cours d’affiliation à la suite d’une demande de prestation). Les personnes qui ont déjà eu un dossier sont toujours considérées comme « allocataires » même si leur dossier est radié (fermé).

touchés et de préparer la réouverture de vacaf.org dans des conditions de sécurité renforcées.

Les allocataires concernés informés individuellement

Les investigations menées ont établi que 1 619 893 allocataires des Caf sont concernés par la fuite de données. Un courriel d’information leur a été adressé individuellement, conformément à la réglementation et aux engagements pris par la Cnaf dès le début de l’incident.
Selon la situation des familles et les aides auxquelles elles sont éligibles, les données concernées peuvent notamment comprendre les nom, prénom, Caf de rattachement, matricule allocataire, composition du foyer

Composé de l’allocataire lui-même, du conjoint, des enfants et autres personnes à charge (personnes handicapées, enfants confiés par jugement, etc.).
Si un enfant vivant chez ses parents fait une demande prestation, il devient lui-même allocataire. Dans ce cas, seuls ses revenus sont pris en compte pour le calcul de la prestation.

et quotient familial, ainsi que certaines informations relatives aux enfants, telles que leurs nom, prénom et date de naissance, et aux aides aux vacances auxquelles ils sont éligibles.
Comme la Cnaf l’avait indiqué dès ses premières analyses, aucune donnée bancaire, ni aucun mot de passe de connexion aux services en ligne des Caf ne sont concernés par cette fuite. Aucune coordonnée de contact (email, téléphone, adresse postale) n’a également été captée.

Les personnes concernées ont par ailleurs reçu des recommandations leur permettant de renforcer leur vigilance face aux risques d’hameçonnage, d’escroquerie, d’usurpation d’identité ou de sollicitations frauduleuses exploitant certaines informations relatives à leur situation familiale.

Une réouverture après des tests de sécurité approfondis

Dès l’identification de l’incident, l’accès à vacaf.org a été suspendu à titre conservatoire le 10 octobre afin d’empêcher tout nouvel accès non autorisé et de permettre la conduite des investigations techniques.
La plateforme a réouvert au public le 2 novembre, à l’issue de tests d’intrusion ayant permis de vérifier l’efficacité des mesures de sécurité mises en œuvre.
Plusieurs mesures de renforcement ont été prises, avec notamment la mise en place d’une double authentification et le renforcement des dispositifs de protection du site contre les accès malveillants.

Parallèlement, l’intégration progressive des applications numériques Vacaf au sein de caf.fr, engagée à la fin de l’année 2025, se poursuit. Elle sera totalement opérationnelle en 2028 et permettra de renforcer davantage la sécurité de ces services en les intégrant pleinement à l’environnement numérique de la Cnaf.

Une plainte déposée et les autorités compétentes informées

Conformément à ses obligations en matière de protection des données personnelles, la Cnaf a effectué les démarches requises auprès des autorités compétentes. 
La Cnaf et la Caf de l’Hérault ont également déposé conjointement plainte auprès du parquet de Paris le 11 octobre 2026.
La surveillance de la situation se poursuit afin de détecter l’utilisation frauduleuse des données concernées et de protéger les allocataires contre les conséquences de cette fuite.

Aucun impact sur le versement des prestations

Comme indiqué dès le début de l’incident, cette fuite de données n’a eu aucun impact sur la gestion et le versement des prestations par les Caf.
La plateforme Vacaf et le système d’information assurant la gestion et le paiement des prestations sont distincts. Le versement des prestations s’est donc poursuivi normalement pendant toute la durée de l’incident.
Vacaf est le dispositif d’aide aux vacances des Caf. Il permet aux familles éligibles de bénéficier d’aides financières pour partir en vacances en famille ou permettre à leurs enfants de participer à des séjours et colonies de vacances. La plateforme nationale vacaf.org est pilotée par la Caf de l’Hérault pour le compte du réseau des Caf.

Transparence et vigilance

La Cnaf mesure les conséquences que cet incident peut avoir pour les personnes concernées et regrette cette atteinte à la confidentialité de leurs données.
La Cnaf rappelle quelques précautions essentielles pour se prémunir contre les tentatives d’hameçonnage :

• vérifier attentivement l’adresse de l’expéditeur de chaque message reçu ;

• ne jamais communiquer ses identifiants, mots de passe ou codes de sécurité par courriel, SMS ou téléphone ;

• ne pas cliquer sur un lien ni ouvrir une pièce jointe en cas de doute ;

• se méfier des messages créant un sentiment d’urgence ou faisant référence à la situation familiale et aux enfants ;

• accéder directement à son compte depuis caf.fr, sans passer par un lien reçu dans un message ;

• signaler toute sollicitation suspecte se présentant comme émanant d’une Caf, de Vacaf ou d’un organisme de vacances.