Vacaf : 1,62 million d’allocataires touchés, et la sensibilité d’un fichier familial

Incident identifié le 9 octobre 2026 ; bilan de la Cnaf publié le 2 novembre. La Cnaf établit que 1 619 893 allocataires sont concernés par une fuite sur Vacaf, la plateforme des aides aux vacances. Le total vient de l’investigation du gestionnaire, non d’un échantillon présenté par un pirate. La précision compte : on peut décrire le périmètre connu sans inventer le chemin technique de l’intrusion, que ce communiqué ne détaille pas.

Ce qu’un enregistrement Vacaf révèle

Selon les situations, les données captées comprennent nom, prénom, Caf de rattachement, matricule allocataire, composition du foyer, quotient familial, informations sur les enfants (dont nom, prénom et date de naissance) et éligibilité à certaines aides aux vacances. La Cnaf précise qu’aucune donnée bancaire, aucun mot de passe Caf et aucune coordonnée de contact (email, téléphone, adresse) n’ont été captés. Les champs ne sont pas tous présents pour chaque personne.

L’absence d’IBAN ou de mot de passe ne rend pas ce fichier anodin. Le quotient familial et l’éligibilité révèlent une partie de la situation économique ; la composition du foyer et l’âge des enfants permettent de construire un message de fraude très crédible. Un escroc qui connaît le nom d’un enfant et l’aide attendue peut prétendre qu’un dossier Vacaf doit être « validé », puis demander un paiement ou conduire vers une fausse page de connexion. Il s’agit d’un risque plausible, pas d’une campagne frauduleuse que la Cnaf aurait attribuée à cet incident.

Ce que l’on peut et ne peut pas reconstruire

La date du 9 octobre correspond à l’identification de l’incident. Le bilan du 2 novembre fixe les catégories et le nombre d’allocataires après enquête. Il ne publie ni vulnérabilité CVE, ni vecteur d’accès, ni volume brut d’enregistrements copiés, ni preuve technique permettant de rejouer l’attaque. Un article qui expliquerait une injection SQL ou une prise de compte administrateur comme la cause de ce cas irait au-delà des faits disponibles.

La démarche d’audit pertinente reste néanmoins concrète : inventorier les comptes et prestataires capables d’exporter des dossiers, journaliser les requêtes et exports volumineux, limiter les données familiales accessibles par rôle et vérifier la durée de conservation. Dans la réponse à l’incident, chaque personne doit recevoir une notification adaptée aux champs réellement concernés, afin de ne pas confondre exposition familiale et fuite de moyens de paiement. La Cnaf indique avoir informé individuellement les allocataires et préparé une réouverture de Vacaf après tests de sécurité approfondis.

Source principale : communiqué Cnaf du 2 novembre 2026.