Trois semaines après l’incident, la Cnaf livre enfin un chiffre : 1 619 893 allocataires sont concernés par la fuite de données de la plateforme Vacaf. Le site d’aide aux vacances des Caf rouvre ce lundi 2 novembre, désormais protégé par une double authentification. La Cnaf ne dit toujours pas comment l’attaquant est entré.
Un volume enfin chiffré
Le 10 octobre, la Caisse nationale des allocations familiales évoquait une fuite “signalée” la veille au soir, sans avancer le moindre ordre de grandeur. Le chiffre est désormais connu : les investigations “ont établi que 1 619 893 allocataires des Caf sont concernés par la fuite de données”. Chacun a reçu un courriel d’information individuel, conformément à la réglementation. Les premières notifications sont arrivées dans les boîtes mail le 27 octobre, soit dix-huit jours après l’identification de l’incident.
Le contenu dérobé varie selon les aides auxquelles chaque famille est éligible. On y trouve les nom et prénom de l’allocataire, sa Caf de rattachement, son matricule, la composition de son foyer et son quotient familial. S’y ajoutent des informations sur les enfants, avec leurs nom, prénom et date de naissance, et les aides aux vacances dont ils peuvent bénéficier. La Cnaf réaffirme qu’aucune donnée bancaire ni aucun mot de passe de connexion aux services en ligne des Caf n’est concerné. Elle ajoute un élément nouveau : “aucune coordonnée de contact (email, téléphone, adresse postale) n’a également été captée”.
La nouvelle est rassurante, mais elle ne règle pas tout. Un escroc qui connaît le prénom d’un enfant, sa date de naissance et le quotient familial de ses parents dispose d’un scénario d’hameçonnage clé en main, pour peu qu’il trouve le bon canal. La Cnaf le sait. Parmi ses recommandations, elle invite à “se méfier des messages créant un sentiment d’urgence ou faisant référence à la situation familiale et aux enfants”.
Une réouverture sous double authentification
Suspendu le 10 octobre, vacaf.org a rouvert au public ce 2 novembre, après une série de tests d’intrusion destinés à vérifier les nouvelles protections. La principale : la Cnaf annonce “la mise en place d’une double authentification”, complétée par un renforcement des dispositifs de protection du site contre les accès malveillants. La formulation laisse entendre que ce second facteur n’existait pas jusqu’ici. Pour une plateforme nationale qui relie familles et gestionnaires de centres de vacances et qui traite des données sur des mineurs, l’aveu pèse.
La Cnaf mise aussi sur le long terme. L’intégration des applications Vacaf au sein de caf.fr, engagée fin 2025, doit être “totalement opérationnelle en 2028”. La plateforme, pilotée par la Caf de l’Hérault pour le compte du réseau, rejoindra alors pleinement l’environnement numérique de la Cnaf. Jusque-là, elle continue de vivre à part. Le premier communiqué précisait qu’elle était hébergée par un prestataire externe, que la Cnaf n’a jamais nommé.
Le point d’entrée reste dans l’ombre
La Cnaf et la Caf de l’Hérault ont déposé plainte conjointement auprès du parquet de Paris le 11 octobre. Les autorités compétentes ont été informées, et une surveillance est maintenue pour détecter toute utilisation frauduleuse des données.
Plusieurs questions restent pourtant sans réponse. La Cnaf ne dit pas par quelle voie l’attaquant a accédé aux données : comptes légitimes compromis, accès d’une structure partenaire ou vulnérabilité de la plateforme. Elle ne précise pas non plus si l’incident a été détecté par ses propres outils ou par un signalement extérieur, ni pendant combien de temps l’accès non autorisé a duré. L’arrivée de la double authentification fournit un indice, sans valoir confirmation. Sollicitée par Solutions Numériques & Cybersécurité le 28 octobre sur ces différents points, la Cnaf n’avait pas répondu à l’heure où nous publions.
L’organisme dit regretter “cette atteinte à la confidentialité” des données des familles et promet transparence et vigilance.
