Aide aux vacances CAF : le site Vacaf
est coupé en urgence après une fuite de données
La nouvelle a inquiété des centaines de milliers de familles en plein week-end : le site de l’aide aux vacances des Caf a été coupé, et un pirate affirme vendre les dossiers de près de 1,2 million de bénéficiaires. Derrière le titre, la situation est plus précise. La Cnaf confirme une fuite, mais sans en donner le volume ; les données revendiquées concernent des familles et des enfants, mais pas les coordonnées bancaires ; et le versement des allocations n’est pas touché. Le risque immédiat, pour les familles comme pour les entreprises qui les emploient, est ailleurs : les faux messages qui vont suivre.
Qu’est-ce que Vacaf ?
Le dispositif d’aide aux vacances des Caf. Pas le site caf.fr, ni le système qui verse les allocations.
Vacaf permet aux familles éligibles de bénéficier d’aides financières pour partir en vacances, dans des structures partenaires agréées. Le dispositif est piloté par la Caf de l’Hérault pour le compte du réseau des Caf, et la plateforme vacaf.org est hébergée par un prestataire externe, précise la Cnaf.
Ce détail a son importance. Vacaf est séparé du système de gestion et de paiement des prestations. Une famille qui ne parvient plus à ouvrir vacaf.org n’a pas, pour cette seule raison, de problème avec ses allocations. Elle a temporairement perdu la possibilité de réserver un nouveau séjour par ce canal.
Le dispositif concerne un public large : les familles dont le quotient familial ouvre droit à l’aide, et leurs enfants. C’est ce qui rend l’incident sensible, même sans donnée bancaire en jeu.
Qu’a confirmé la Cnaf ?
Une fuite, une suspension et des premières analyses. Pas encore l’inventaire complet.
Dans un communiqué publié le 10 octobre 2026, la Cnaf indique avoir « identifié un incident de cybersécurité concernant le service Vacaf ». Une fuite de données des bénéficiaires lui a été signalée la veille au soir. L’accès à vacaf.org a été suspendu « à titre conservatoire », pour sécuriser la plateforme.
Une cellule de crise a été activée. Les équipes de la Cnaf, de Vacaf et de la Caf de l’Hérault travaillent à établir les circonstances de l’incident et son périmètre exact. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la CNIL ont été informées, et une plainte devait être déposée dans les heures suivant la publication.
Les premières analyses écartent deux catégories de données : les coordonnées bancaires des allocataires et les mots de passe d’accès aux services en ligne des Caf ne figurent pas parmi les données concernées. Il s’agit de résultats préliminaires, que l’enquête peut compléter.
Une fois le périmètre consolidé, la Cnaf et la Caf de l’Hérault informeront individuellement les personnes concernées et leur transmettront des recommandations pour se protéger. Le canal annoncé est donc un message personnel, pas un article de presse ni un SMS collectif.
Allocations, séjours, réservations : qu’est-ce qui change pour les familles ?
Les versements continuent, les séjours réservés sont maintenus, seules les nouvelles réservations sont gelées.
Les allocations. La Cnaf est formelle : l’incident n’a aucun impact sur le versement des prestations, puisque Vacaf est séparé du système de paiement. Un retard ponctuel ne doit pas être interprété comme une conséquence de la fuite.
Les séjours déjà réservés. Ils ne sont pas remis en cause et se déroulent dans les conditions prévues. Pour toute question pratique, l’interlocuteur reste l’organisateur du séjour ou la Caf, joints par les coordonnées habituelles.
Les nouvelles réservations. Elles sont suspendues le temps des investigations et de la sécurisation. La Cnaf annonce une communication au moment de la réouverture du service. À la date du 12 octobre, aucune date de reprise n’est fixée.
Pour les familles qui comptaient réserver des vacances de la Toussaint, le calendrier peut donc se compliquer. Il n’existe pas de procédure de contournement : tout site ou intermédiaire qui proposerait de « réserver à la place de Vacaf » pendant la coupure doit être considéré avec la plus grande méfiance.
D’où vient le chiffre de 1,2 million ?
D’une mise en vente sur un forum clandestin, repérée par un site spécialisé. Pas du communiqué officiel.
Le 9 octobre au soir, le site de veille FrenchBreaches a signalé qu’un vendeur proposait, sur un forum clandestin, des fichiers attribués à Vacaf. Le vendeur revendique 1 191 967 dossiers d’aide aux vacances, issus de 58 caisses, ainsi que 97 269 dossiers Pass Colo et 101 322 lignes d’inscription d’enfants à des séjours. Les données porteraient sur des bénéficiaires de 2026.
Ces chiffres sont ceux du vendeur. FrenchBreaches a examiné trois extraits de 500 lignes chacun et juge la revendication crédible, mais précise ne pas pouvoir authentifier l’ensemble des fichiers. La Cnaf confirme une fuite, sans donner de volume ni liste des données touchées.
Un dossier n’est pas une personne : une même famille ou un même enfant peut apparaître plusieurs fois, et les différents fichiers ne s’additionnent pas. Écrire que « 1,2 million d’allocataires ont été volés » transforme une revendication en recensement. La formulation exacte est : un pirate revendique 1 191 967 dossiers, et la Cnaf confirme une fuite sans en préciser l’ampleur.
Le périmètre réel est précisément ce que la cellule de crise cherche à établir. Seul le message individuel annoncé par la Cnaf permettra à une famille de savoir si elle est concernée.
Quelles données seraient concernées ?
Des informations familiales et administratives, selon les extraits observés. Pas de coordonnées bancaires, selon la Cnaf.
D’après FrenchBreaches et Clubic, les échantillons examinés contiennent les noms des parents et des enfants, les dates de naissance des enfants, les numéros de dossier Caf, le département et la caisse de rattachement, le quotient familial, la composition du foyer, le montant de l’aide, les dates et lieux des séjours réservés, et le reste à charge des familles.
Les adresses électroniques, les numéros de téléphone et les adresses postales ne figurent pas parmi les données observées dans ces extraits. Ce constat porte sur 1 500 lignes, pas sur l’ensemble des fichiers revendiqués.
Même sans RIB ni mot de passe, ce type de données a de la valeur pour un escroc. Un message qui cite le nom d’un enfant, la date d’un séjour ou le numéro de dossier Caf paraît crédible. C’est exactement ce qui rend les tentatives d’hameçonnage dangereuses dans les semaines qui suivent une fuite.
Les circonstances de l’accès aux données ne sont pas établies, et la Cnaf n’en dit rien à ce stade.
Quel est le vrai risque pour les familles ?
Les faux messages qui exploitent l’incident, avant même l’arrivée du message officiel.
La Cnaf appelle les familles à rester vigilantes face à d’éventuelles tentatives d’escroquerie, d’hameçonnage ou d’usurpation d’identité. Le scénario est classique : un SMS ou un courriel « Votre dossier Vacaf a été compromis, confirmez vos informations ici » arrive avant le vrai message, ou à sa place.
Aucun lien. Un message qui renvoie vers une page pour « sécuriser le dossier » ou « débloquer l’aide » n’émane pas de la Cnaf. Pour toute démarche, passer par caf.fr ou par l’application, en tapant soi-même l’adresse.
Aucune pièce. Personne n’a à envoyer une carte d’identité, un RIB ou un justificatif parce que Vacaf a été suspendu. Les données bancaires ne figurent pas dans la fuite, selon les premières analyses.
Aucun mot de passe. Les mots de passe des services en ligne des Caf ne seraient pas concernés. Un message qui en demande un est frauduleux. Les changer de sa propre initiative, sur caf.fr, ne pose pas de problème ; le faire parce qu’un SMS l’exige, sur une page inconnue, en pose un.
Aucun appel entrant à rappeler. Un faux conseiller qui cite le nom d’un enfant ou la date d’un séjour n’en est pas plus légitime. Raccrocher et rappeler la Caf au numéro habituel.
Aucune recherche du fichier. Chercher sur un forum un « extrait pour vérifier si l’on y figure » prolonge la diffusion et expose à des sites malveillants.
Que peut dire une entreprise à ses équipes ?
Trois lignes suffisent. Le reste ne la regarde pas.
De nombreux salariés sont allocataires, ou ont un enfant parti en séjour grâce à une aide Vacaf. L’entreprise n’a pas à savoir qui. Elle peut en revanche éviter que de faux messages fassent des dégâts, y compris sur les messageries professionnelles.
Une note interne utile tient en quelques phrases : le site des aides aux vacances de la Caf est suspendu ; les allocations continuent d’être versées et les séjours déjà réservés sont maintenus ; tout message qui demande un mot de passe, un RIB ou une pièce jointe est à ignorer ; pour toute démarche, passer par caf.fr, en tapant l’adresse.
Ce qu’il vaut mieux éviter : reprendre dans un courriel interne le chiffre de « 1,2 million de personnes concernées », qui n’est pas celui de la Cnaf ; demander aux salariés de signaler s’ils « pensent être dans le fichier », ce qui crée une liste que personne n’a demandée ; réclamer un numéro d’allocataire « pour vérifier », alors que c’est justement le type de donnée que contient un fichier de bénéficiaires.
Si un prestataire propose dans les jours qui viennent un « audit pour savoir si vos salariés sont dans la fuite Vacaf », la réponse est simple. Il ne dispose pas du fichier officiel, et s’il en détient un extrait, il ne devrait pas l’avoir. La seule liste fiable sera celle que la Cnaf utilisera pour prévenir, individuellement, les familles concernées.
Questions fréquentes
Les allocations vont-elles être versées normalement ?
Oui, selon la Cnaf. Vacaf est séparé du système de gestion et de paiement des prestations, et l’incident n’a aucun impact sur les versements.
Un séjour déjà réservé via Vacaf est-il annulé ?
Non. Les séjours déjà réservés ne sont pas remis en cause. Seules les nouvelles réservations sont suspendues jusqu’à la réouverture du service.
Les coordonnées bancaires font-elles partie de la fuite ?
Non, selon les premières analyses de la Cnaf, qui excluent aussi les mots de passe des services en ligne des Caf. L’inventaire complet reste en cours.
Le chiffre de 1,2 million est-il officiel ?
Non. Il provient du vendeur des données, repéré par FrenchBreaches. La Cnaf confirme une fuite sans en donner le volume, et un dossier ne correspond pas forcément à une personne.
Comment savoir si l’on est concerné ?
La Cnaf et la Caf de l’Hérault informeront individuellement les personnes concernées. Aucun site ni service tiers ne permet de le vérifier de façon fiable.
Que faire en attendant ?
Ne cliquer sur aucun lien inattendu, n’envoyer aucune pièce ni coordonnée bancaire, et passer par caf.fr, en tapant soi-même l’adresse, pour toute démarche.
- Cnaf — Incident de cybersécurité concernant le service Vacaf, communiqué du 10 octobre 2026.
- FrenchBreaches — Les données de près de 1,2 million de dossiers d’aides aux vacances proposées à la vente, 9 octobre 2026.
- Clubic — Mélina Loupia, un pirate revendique près de 1,2 million de dossiers liés aux aides vacances de la CAF, 10 octobre 2026.
WY-Créations accompagne depuis 2018 les artisans, les TPE, les PME et les professions libérales dans leur référencement sur Google, leur présence dans les réponses des IA et leur e-réputation.
Une fuite ailleurs, des arnaques dans vos boîtes mail.
Accès partagés, messageries professionnelles, e-réputation : WY-Créations aide les dirigeants à protéger leurs comptes et à préparer les bons réflexes avant que les faux messages arrivent.