Fuite de données Vacaf, l’aide aux vacances des Caf (octobre 2026)

Vacaf est le service des Caisses d’allocations familiales (Caf) qui aide les familles allocataires à payer des séjours et des colonies de vacances. Il est piloté par la Caf de l’Hérault et hébergé par un prestataire.

Ce qui s’est passé

Le 9 octobre 2026 au soir, un pirate a mis en vente sur un forum ce qu’il présente comme les dossiers de Vacaf.

Le 10 octobre, la Cnaf a confirmé un « incident de cybersécurité » sur Vacaf. Selon elle, Vacaf est séparé du système qui verse les allocations.

La Cnaf a informé la CNIL et l’ANSSI (l’agence nationale de la sécurité des systèmes d’information), annonce une plainte et dit que les personnes concernées seront prévenues une à une. Elle n’a pas donné de nombre. Le pirate affirme détenir près de 1,2 million de dossiers d’aide aux vacances de 2026.

Fuite annoncéeNombre de victimes pas encore communiquéCAF (Vacaf)

Les données exposées

Selon la Cnaf : ni les données bancaires ni les mots de passe des comptes Caf ne sont touchés. Elle ne dit pas encore quelles données l’ont été.

Selon le pirate, sans confirmation : les noms et dates de naissance des enfants, le quotient familial des parents, le montant de l’aide, les dates du séjour et ce qui reste à payer par la famille. Le site spécialisé FrenchBreaches a examiné des extraits et juge la revendication crédible.

Êtes-vous concerné ?

Peut-être, si votre famille a utilisé l’aide aux vacances de la Caf (Vacaf ou Pass Colo) pour un séjour en 2026. Le pirate parle de 58 des 96 caisses du dispositif ; la Cnaf ne l’a pas confirmé.

Que faire si vous êtes concerné

1. Méfiez-vous des SMS, mails ou appels qui parlent de votre séjour, de votre aide aux vacances ou d’un reste à payer : un escroc qui connaît ces montants peut se faire passer pour la Caf ou pour le centre de vacances.
2. Vérifiez toute demande de paiement dans votre espace personnel, en allant vous-même sur le site de la Caf, jamais par un lien reçu.
3. Ne donnez jamais vos coordonnées bancaires ou votre mot de passe à quelqu’un qui vous contacte, même s’il cite la Caf.

Sources

• Fuite de données : la Cnaf suspend un site d’urgence après un « incident de cybersécurité », 01net, d’après le communiqué de la Cnaf, 11 octobre 2026
• Un pirate revendique près de 1,2 million de dossiers liés aux aides vacances de la CAF, Clubic, 10 octobre 2026
• Un site relié aux Caisses d’allocations familiales victime d’une fuite de données, plus d’un million de dossiers compromis, BFM Tech, 10 octobre 2026

Droit de réponse. L’entreprise ou l’organisme concerné peut nous signaler une erreur, une précision ou un démenti à contact@veillify.fr : nous le publions sur cette fiche sous 48 heures.