Ce sont 1,2 million de dossiers d’allocataires de la CAF qui sont dans la nature suite au piratage de Vacaf. On trouve aussi bien des identités que des dates de naissance, des quotients familiaux et autres aides sur les vacances des familles concernées. Il y a également des données d’enfants qui apparaissent dans cette fuite, touchant 58 caisses de la CAF.
C’est sur un forum de cybercriminels qu’un pirate a mis en vente 1 191 967 dossiers volés à Vacaf qui finance une partie des vacances des familles modestes et les séjours de leurs enfants. FrenchBreaches a examiné 1 500 enregistrements de ces trois fichiers et dans deux d’entre eux, on trouve 97 269 aides Pass colo et 101 322 réservations de séjours pour enfants.
Quelles données de Vacaf ont été piratées lors de l’attaque contre la CAF
À noter qu’il y a des doublons possibles dans ces fichiers et les données volées sont très sensibles puisqu’on trouve les noms des parents et des enfants, les dates de naissance, les matricules CAF, les quotients familiaux, la composition du foyer, les montants des aides, les centres choisis, les dates de séjour. Bref, suffisamment d’éléments sensibles pour qu’un pirate puisse lancer une attaque de phishing crédible au nom de la CAF ou de tout autre organisme de vacances.
Pour le moment, rien n’a été confirmé mais selon FrenchBreaches, plusieurs comptes sans double authentification furent compromis. Pour rappel, il s’agit d’une méthode de vérification après le mot de passe qui passe par un code reçu par SMS ou une application dédiée, notamment. Vacaf est hébergé par un prestataire externe et piloté par la CAF de l’Hérault. Alors pour le moment, c’est un peu le flou sur qui est en cause et d’où l’accès s’est fait pour les pirates.
Rappelons que ce n’est pas la première fois que la CAF se fait pirater, puisqu’il y a déjà une fuite de données de 3,5 millions de foyers qui utilisent le Pass’Sport. On trouvait déjà des noms, des adresses, des coordonnées, autres données sur les allocataires.
Une série noire pour la France avec de nombreux piratages
Mais il y en a aussi eu cette année puisqu’en février 2026, une cyberattaque visant HubEE a exposé les données RSA des bénéficiaires de la CAF. Bref, une mauvaise publicité pour le gouvernement avec le piratage de cette plateforme de l’État qui transmet des dossiers entre administrations.
Il y a eu 70 000 dossiers extraits avec des numéros de sécurité sociale, des matricules allocataires et des coordonnées. Là encore, ce n’est pas la CAF directement qui a été attaquée, mais une plateforme numérique de l’État à part.
Ce lundi 12 octobre 2026, vacaf.org n’est toujours pas accessible. Le ministère des Solidarités indique que “l’accès à la plateforme a été suspendu à titre conservatoire, une cellule de crise a été activée”. La CNIL a été informée, alors que l’ANSSI participe aux investigations. La veille, une plainte a été déposée.
Les séjours sont-ils maintenus après le piratage de Vacaf ?
Pour les allocataires, les séjours déjà réservés sont maintenus. Mais pour les nouvelles réservations, c’est la suspension à titre provisoire. Le ministère précise qu’aucun “élément n’indique que les données bancaires des allocataires ou leurs mots de passe étaient compromis”. Mais cela n’empêche pas les pirates de mener des attaques de phishing.
Bref, la série noire continue en France, alors qu’en août 2026, le hashtag #FrancePassoire a explosé après de nombreuses attaques contre l’administration française jugée comme pas assez protégée. Entre les piratages des impôts, de l’Éducation nationale ou encore de France Titres, c’est une véritable catastrophe. L’administration contactera chaque personne concernée par ce piratage au moment voulu.
Un avis, une expérience, un désaccord ? La discussion est ouverte.