Et si on commençait la semaine par une nouvelle fuite de données dans un service public français ? La Caisse nationale des allocations familiales (Cnaf) a récemment confirmé un incident de cybersécurité ayant touché Vacaf, son dispositif d'aide aux vacances. Un pirate affirme avoir récupéré les informations de près de 1,2 million de dossiers, comprenant notamment des données personnelles sur des familles et leurs enfants.
Selon le site FrenchBreaches, un pirate propose à la vente des fichiers contenant 1 191 967 dossiers d'aides aux vacances, répartis entre 58 CAF. Deux autres ensembles de données seraient également concernés : 97 269 fiches liées au Pass Colo et 101 322 enregistrements relatifs à des séjours pour enfants. Le site explique avoir examiné 1 500 lignes issues de ces fichiers : elles contiennent notamment des noms et prénoms de parents et d'enfants, des dates de naissance, des numéros de dossier CAF, des quotients familiaux, des montants d'aides ainsi que des dates et lieux de séjour. Ces chiffres restent toutefois à relativiser, car ils ne correspondent pas nécessairement à autant de personnes différentes.
Les circonstances exactes de la fuite ne sont pas encore connues. La Cnaf explique avoir activé une cellule de crise et suspendu l'accès à vacaf.org pour empêcher de nouveaux accès non autorisés. Selon ses premières analyses, les coordonnées bancaires des allocataires et les mots de passe permettant d'accéder aux services en ligne de la CAF ne figurent pas parmi les données concernées. La CNIL et l'ANSSI ont été informées, tandis que la Cnaf a annoncé son intention de déposer plainte.
Pour les allocataires, la Cnaf précise que le versement des prestations n'est pas affecté, le système informatique chargé des paiements étant séparé de Vacaf. Les séjours déjà réservés restent également valables. En revanche, les nouvelles réservations sur la plateforme sont temporairement impossibles, sans date de réouverture annoncée. L'organisme prévoit de contacter individuellement les personnes concernées une fois l'ampleur de la fuite établie.
Cette affaire vient allonger une liste déjà bien fournie de cyberattaques contre les administrations françaises. En 2024, France Travail avait été victime d'une intrusion concernant potentiellement les données de 43 millions de personnes. Plus récemment, France Titres, l'agence chargée des cartes d'identité et des passeports, a également été touchée. Cet été, les pirates s'en sont également pris au fisc et à l'Éducation nationale.
