Ce n’est pas une première pour la Caisse nationale des allocations familiales (Cnaf). En février 2024, l’organisme avait déjà confirmé des accès illégitimes à plusieurs milliers de comptes d’allocataires. Cette fois, c’est Vacaf, le service d’aide aux vacances, qui est touché par une fuite de données signalée le 10 octobre 2026, après une alerte reçue la veille. La plateforme permet aux familles éligibles de bénéficier d’un soutien financier pour leurs vacances ou les séjours de leurs enfants. Pilotée par la Caf de l’Hérault pour le compte du réseau national et hébergée par un prestataire externe, elle met en relation les bénéficiaires avec les gestionnaires de centres de vacances.

Face à l’incident, la Cnaf a suspendu l’accès au site vacaf.org par mesure de précaution et activé une cellule de crise pour évaluer l’étendue de la fuite et en limiter les conséquences.

Des données bancaires et des mots de passe épargnés

Selon les premières informations communiquées par la Cnaf, les données bancaires des allocataires et les mots de passe utilisés pour accéder aux services en ligne des Caf ne font pas partie des informations concernées par la fuite. L’organisme précise également que l’incident n’a pas d’incidence sur le versement des prestations sociales.  Le nombre exact de personnes touchées n’a toutefois pas été communiqué. Le média spécialisé FrenchBreaches évoque une revendication portant sur environ 1,2 million de dossiers d’allocataires. Ce chiffre n’a pas été confirmé par la Cnaf et doit donc être considéré avec prudence.

L’organisme indique qu’il informera individuellement les personnes concernées dès que le périmètre de l’incident aura été établi. Des recommandations leur seront également communiquées afin de limiter les risques d’hameçonnage, d’escroquerie ou d’usurpation d’identité.

Une plainte annoncée

La Cnaf a annoncé son intention de déposer plainte à la suite de cet incident. Les investigations devront notamment permettre de déterminer les circonstances de la fuite, les données effectivement exposées et le nombre de bénéficiaires concernés.  La plateforme Vacaf, hébergée par un prestataire externe et pilotée par la Caf de l’Hérault pour le compte du réseau national, met en relation les familles bénéficiaires et les gestionnaires de centres de vacances. Elle constitue ainsi un service dédié à la gestion des aides aux vacances, distinct des services habituels de versement des prestations. Ces incidents surviennent alors que la transposition de la directive européenne NIS 2 en droit français continue d’être reportée. Initialement inscrit à l’ordre du jour de l’Assemblée nationale à partir du 7 octobre 2026, l’examen du projet de loi sur la résilience numérique, destiné à transposer cette directive, a finalement été retiré du calendrier parlementaire en raison de « l’encombrement du calendrier parlementaire ».