Ce qui s'est passé

Vacaf est le dispositif d'aide aux vacances des caisses d'allocations familiales. Il permet aux familles éligibles de financer un séjour en famille ou le départ de leurs enfants en colonie de vacances. La plateforme vacaf.org, hébergée par un prestataire externe, est pilotée par la Caf de l'Hérault pour le compte de l'ensemble du réseau. 

Le soir du 9 octobre 2026, une fuite concernant les données des bénéficiaires a été signalée. La Caisse nationale des allocations familiales (Cnaf) a aussitôt suspendu l'accès à la plateforme et activé une cellule de crise. Ceci fait suite au piratage des impôts, au hacking des données de l'éducation nationale et à la cyberattaque des données de France Titres.

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) accompagne les investigations à la demande du Gouvernement. La CNIL a été informée et une plainte devait être déposée le 11 octobre. Trois ministères (Travail et Solidarités, Santé et Familles, Sports et Jeunesse) suivent le dossier.

Quelles données sont concernées

Selon le communiqué gouvernemental, les données potentiellement compromises sont notamment :

  • les noms des allocataires et de leurs enfants ;
  • les quotients familiaux ;
  • les informations liées aux réservations et aux séjours.

La Cnaf indique que ses premières analyses ne font apparaître ni coordonnées bancaires, ni mots de passe d'accès aux services en ligne des Caf. Le Gouvernement reste plus prudent : aucun élément ne l'indique à ce stade, sans qu'il soit encore possible de l'exclure formellement. Le périmètre exact et le nombre de familles touchées ne sont pas encore connus.

Prestations et séjours : ce qui change, ce qui ne change pas

Situation Ce qu'il faut savoir
Allocations et prestations Caf  Aucun impact : Vacaf est séparé du système qui gère et paie les prestations. Les versements continuent normalement.
Séjour déjà réservé via Vacaf  Maintenu dans les conditions prévues.
Nouvelle réservation  Temporairement suspendue pendant les investigations. La Cnaf annoncera la réouverture.
Compte en ligne Caf (caf.fr)  Mots de passe non concernés selon les premières analyses.

Comment se protéger des arnaques

Le principal risque est l'hameçonnage : des escrocs qui connaissent votre nom, celui de vos enfants ou votre séjour peuvent se faire passer pour la Caf de façon très crédible. Quelques réflexes simples limitent ce risque.

  • Ne communiquez jamais vos coordonnées bancaires, mots de passe ou codes reçus par SMS en réponse à un mail, un SMS ou un appel. La Caf ne les demande pas ainsi.
  • Ne cliquez pas sur les liens d'un message inattendu évoquant Vacaf, un remboursement ou un séjour annulé. Connectez-vous directement sur caf.fr ou l'application Caf - Mon Compte.
  • Méfiez-vous de l'urgence : « dossier bloqué », « aide perdue sous 24 h », « frais à régler » sont des signaux d'alerte classiques.
  • Surveillez vos comptes bancaires et signalez tout mouvement inhabituel à votre banque.
  • Signalez les messages suspects : SMS au 33700, mails sur signal-spam.fr. En cas d'arnaque, le site cybermalveillance.gouv.fr et le 17Cyber vous orientent.

Et maintenant ?

Dès que le périmètre de l'incident sera consolidé, la Cnaf et la Caf de l'Hérault informeront individuellement chaque famille concernée, avec des recommandations adaptées. Inutile donc de contacter votre Caf en amont pour savoir si vous êtes touché : en attendant, la vigilance reste la meilleure protection. Nous mettrons cet article à jour au fil des annonces officielles.