VACAF : un vendeur revendique 1,2 million de dossiers d'aides

Un vendeur a mis en ligne, sur un forum cybercriminel, ce qu'il présente comme des données du dispositif VACAF — les aides aux vacances gérées via les caisses d'allocations familiales. Il n'existe à ce stade aucune confirmation officielle : ce billet s'appuie sur le signalement du site spécialisé FrenchBreaches, relayé par ZATAZ et Clubic. La mise en vente a été repérée le vendredi 9 octobre 2026 au soir.

Ce qui est revendiqué

Les chiffres diffèrent selon l'unité comptée. Clubic, citant FrenchBreaches, détaille 1 191 967 dossiers VACAF (« près de 1,2 million »), plus 97 269 fiches Pass Colo et 101 322 lignes d'inscriptions à des séjours pour enfants ; ZATAZ parle de son côté de 1,39 million de lignes revendiquées. Selon le vendeur, les champs concernés incluent :

• noms des enfants et dates de naissance,
• quotient familial des parents,
• montant de l'aide accordée et reste à charge,
• dates des séjours.

Toujours selon le vendeur, seules les données de bénéficiaires de 2026 seraient concernées, issues de 58 caisses sur les 96 qui adhèrent au dispositif.

Statut : non confirmé

À retenir avant toute reprise :

• Ni VACAF ni la CNAF n'avaient confirmé la fuite au moment de la publication. Aucun démenti non plus.
• FrenchBreaches juge la revendication « crédible », mais précise n'avoir examiné que 1 500 lignes (trois extraits de 500), ce qui ne permet pas d'authentifier l'ensemble des bases annoncées.
• Le mode d'accès n'est pas établi. L'hypothèse avancée est la compromission de comptes dépourvus de double authentification, sans intrusion directe documentée dans les serveurs de VACAF.

Tant qu'un échantillon n'est pas recoupé avec des bénéficiaires réels ou qu'une source officielle ne s'exprime pas, le volume comme le périmètre restent des affirmations du vendeur.

Que faire

1. Bénéficiaires VACAF : pas d'action technique possible de votre côté. Méfiez-vous d'un pic d'hameçonnage ciblé (SMS/e-mails usurpant la CAF, « mise à jour de dossier », remboursement). La CAF ne demande jamais de coordonnées bancaires par message.
2. CAF et caisses adhérentes : si vous opérez un accès VACAF, forcez la MFA sur les comptes agents et revoyez les journaux d'accès aux dossiers depuis l'été 2026.
3. RSSI / CERT : traitez l'alerte comme non confirmée dans vos communications internes jusqu'à recoupement.

Contexte

La revendication s'inscrit dans une série continue de fuites visant des données sociales et des mineurs côté français — un terrain où le quotient familial et les dossiers d'aides constituent des cibles de choix pour la fraude aux prestations. Nous mettrons ce billet à jour si la CNAF, VACAF ou la CNIL s'expriment, ou si un échantillon est authentifié.