CAF : les revenus, les enfants et les vacances de 1,2 million de familles seraient en vente sur un forum
Vous avez peut-être envoyé un enfant en colonie cet été avec un coup de pouce de la CAF. Ou réservé un camping grâce à une aide aux vacances. Selon le site FrenchBreaches, un pirate affirme détenir les dossiers de plus d’un million de familles et les proposerait à la vente sur un forum cybercriminel. Ce que contiennent ces fichiers est plus parlant qu’un simple nom, et c’est ce qui inquiète.
Ce vendredi 9 octobre, un pirate met en vente les dossiers de 1,2 million d’allocataires
Tout part d’une annonce publiée sur un forum cybercriminel. Un pirate y propose des fichiers qu’il attribue à VACAF, le service qui gère les aides aux vacances des Caisses d’allocations familiales. C’est le site FrenchBreaches qui a révélé l’affaire après avoir consulté des extraits.
Les chiffres annoncés donnent le vertige. Le pirate parle de 1 191 967 dossiers d’allocataires, répartis entre 58 caisses sur les 101 que compte le réseau. S’y ajouteraient 97 269 fiches Pass Colo, l’aide au départ en colonie, et 101 322 inscriptions d’enfants à des séjours.
Toutes les données concerneraient des bénéficiaires de 2026. Les réservations les plus récentes dateraient du 7 octobre, soit deux jours avant l’annonce. Autrement dit, le fichier serait tout frais.
Si ces chiffres sont exacts, cela représenterait environ un allocataire sur douze, sachant que la Cnaf en comptait 13,5 millions en 2023. Mais attention : ces totaux comptent des lignes de fichier, pas des familles. Une même famille peut apparaître plusieurs fois, et d’après le site Fuites Infos, le pirate parle lui-même d’environ 1,1 million de numéros d’allocataire différents.
Ce n’est pas la première fois que l’administration se retrouve dans ce genre de tourmente, comme le montre le piratage qui a exposé 340 000 demandeurs d’emploi. Mais ici, une question se pose : que contiennent exactement ces lignes ?
Noms d’enfants, quotient familial, dates de séjour : ce que contiendraient vraiment les fichiers
Les extraits examinés par FrenchBreaches portent sur trois échantillons de 500 lignes. Ils contiennent bien des informations structurées sur des familles et des mineurs. Mais ces 1 500 lignes ne suffisent pas à vérifier le volume total annoncé.
Que trouve-t-on dedans ? Les noms et prénoms des parents et des enfants, les dates de naissance des mineurs, le numéro d’allocataire et la caisse de rattachement. Voilà pour l’état civil.
Le reste est plus sensible. Les fichiers mentionneraient le nombre d’adultes et d’enfants dans le foyer, le montant des aides, les dates et lieux des séjours, ainsi que la somme restant due.
Sur ce sujet de l’identité numérique, l’attaque contre le portail des cartes d’identité et des passeports avait déjà montré à quel point ces bases attirent les pirates. Ici, l’angle est différent, car les données parlent de la vie quotidienne des familles.
Fuites Infos, qui a analysé l’échantillon publié avec l’annonce, n’a trouvé ni adresse e-mail, ni numéro de téléphone, ni adresse postale. Ce point rassure un peu. Mais il masque l’élément le plus embarrassant du fichier.
Car on y trouve aussi le quotient familial, ce calcul des ressources du foyer dont la CAF se sert pour fixer ses aides. Ajoutez le nombre d’enfants et leur lieu de vacances : ces fichiers dessinent à peu près les revenus d’une famille, la composition de son foyer et l’endroit où ses enfants passent leurs congés.
Le faux message de la CAF qui pourrait suivre
Un exemple concret montre le risque. Prenons un escroc qui connaît le prénom d’un enfant, le montant d’une aide et les dates d’un séjour. Si ce profil trouve ailleurs les coordonnées de la famille, il peut envoyer un message très crédible au nom de la CAF.
Le scénario le plus évident serait celui d’un prétendu trop-perçu à rembourser en urgence. C’est exactement le mécanisme du faux prélèvement de 69 € qui piège des milliers de Français, avec en prime des détails vrais pour endormir la méfiance.
Comment le pirate aurait-il pu entrer ? Selon FrenchBreaches, il serait passé par plusieurs comptes utilisateurs non protégés par la double authentification, c’est-à-dire un code demandé en plus du mot de passe. Aucune source officielle ne confirme cette piste pour l’instant.
Elle reste plausible. Fin septembre, un rapport de l’ANSSI sur le piratage de la DGFiP, revendiqué par ZeroBytes à la mi-août, pointait des lacunes de sécurité dans le service public, dont l’absence de double authentification sur plusieurs plateformes.
Alors, que faire ? Pour l’instant, les familles n’ont aucun moyen de savoir si leur dossier figure dans les fichiers. Si un SMS, un e-mail ou un appel évoque une aide aux vacances, même avec des informations exactes, ne cliquez sur aucun lien.
Passez directement par votre espace sur le site officiel caf.fr pour vérifier votre dossier. Un message qui cite le prénom de votre enfant n’est pas forcément un vrai message. Reste à savoir ce que la CAF va répondre.
Ce que la CAF doit encore éclaircir
À ce stade, le silence domine. Ni la CAF de l’Hérault, qui gère VACAF pour tout le réseau, ni la Cnaf n’ont confirmé publiquement le piratage. Les chiffres du pirate restent donc des affirmations, à prendre au conditionnel.
L’institution a déjà connu un épisode semblable. En décembre 2025, un fichier de 22 millions de lignes attribué à la CAF avait été publié sur un forum. La Cnaf avait alors démenti tout piratage de son système, expliquant que les données venaient d’administrations partenaires.
Cette fois, la ligne de défense sera plus difficile à tenir si les extraits sont authentiques. Ils portent sur des bénéficiaires de 2026, avec des réservations vieilles de quelques jours seulement.
En attendant, un bon réflexe consiste à sécuriser ses autres comptes. Une protection légale contre les prélèvements frauduleux existe, et peu de banques en parlent spontanément.
Autre vigilance : les faux SMS bancaires. Ils imitent déjà la perfection, comme le montrent ces messages qui piègent des clients de Revolut. Si votre dossier CAF fuite, vos autres données doivent rester sous clé.
Reste à surveiller ce qui se passera dans les prochains jours : une éventuelle confirmation de la CAF, un communiqué de la Cnaf, ou la publication de nouveaux échantillons.
Un fichier de vacances peut sembler anodin. Il raconte pourtant les revenus et les enfants d’une famille. Si l’affaire vous a mis la puce à l’oreille, savez-vous que cette technique évolue sur WhatsApp pour aspirer vos données sans que vous vous en rendiez compte ? Et pendant que les pirates s’intéressent à vos allocations, un clic à faire avant fin août sur Doctolib protège une autre donnée très intime : celle de votre santé.