Votre enfant est parti en colo avec une aide de la CAF ? Un pirate revendique près de 1,2 million de dossiers du dispositif Vacaf : noms d'enfants, dates de naissance, quotient familial, dates de séjour. Les données bancaires seraient épargnées, selon la Cnaf, mais le reste à charge peut nourrir de faux messages de paiement.
En bref
- Un pirate propose sur un forum criminel près de 1,2 million de dossiers Vacaf, chiffre que la Cnaf n'a pas confirmé.
- Les fichiers relieraient le nom d'un enfant au quotient familial de ses parents, à l'aide versée et au reste à charge.
- La Cnaf exclut les données bancaires et les mots de passe Caf, et promet de prévenir chaque famille concernée.
Le chiffre clé : 1 191 967, dossiers d'aide aux vacances annoncés à la vente par le pirate.
Le pirate annonce des dossiers de 58 caisses sur 96
L'offre circule sur un forum de cybercriminels. Le vendeur affirme détenir 1 191 967 dossiers d'aide aux vacances sociales. Il y ajoute 97 269 fiches Pass Colo et 101 322 lignes d'inscriptions à des séjours d'enfants. Ses données viendraient de 58 caisses, sur les 96 qui adhèrent au dispositif Vacaf.
Le contenu des fichiers est précis. On y trouve le nom de l'enfant, sa date de naissance, le quotient familial de ses parents, le montant de l'aide accordée, les dates du séjour et la somme que la famille doit encore régler.
| Élément revendiqué | Volume annoncé |
|---|---|
| Dossiers d'aide aux vacances sociales | 1 191 967 |
| Fiches Pass Colo | 97 269 |
| Lignes d'inscription à des séjours d'enfants | 101 322 |
| Caisses concernées | 58 sur 96 |
La Cnaf reconnaît une fuite mais ne confirme pas le chiffre
Vendredi 9 octobre au soir, un incident de cybersécurité a été signalé sur Vacaf. Samedi, la Caisse nationale des allocations familiales a parlé d'une fuite touchant les données des bénéficiaires, sans donner de nombre. L'accès à la plateforme vacaf.org a été suspendu et une cellule de crise activée.
Une plainte devait être déposée dans les heures suivantes. L'Anssi et la Cnil ont été informées.
Sur le fond, la Cnaf avance deux points rassurants après de premières analyses : ni les données bancaires, ni les mots de passe d'accès aux services en ligne des Caf ne sont concernés. Les versements de prestations ne sont pas touchés non plus.
Quant au 1,2 million, il vient d'une revendication du pirate, relayée par le site spécialisé FrenchBreaches. Ce dernier juge la revendication crédible, mais précise que les 1 500 lignes qu'il a examinées ne permettent pas de vérifier l'ensemble des bases annoncées.
Un dossier n'est pas une famille : ne comptez pas les victimes à la louche
Additionner les 1,19 million de dossiers, les fiches Pass Colo et les inscriptions donnerait un faux total. Un dossier ne correspond pas forcément à une personne, et une même famille peut apparaître dans plusieurs fichiers. La Cnaf, elle, attend d'avoir une vision consolidée avant de chiffrer.
Pour situer l'échelle, la CAF de l'Hérault, qui pilote la mission nationale Vacaf, fait état de 107 743 familles et 69 522 enfants partis en vacances grâce au dispositif. Dans les 500 fiches Pass Colo examinées, les enfants vivent dans 91 départements. L'exposition n'est donc pas locale.
Côté accès, FrenchBreaches évoque plusieurs comptes utilisateurs compromis, sans double authentification. Le site ignore s'ils appartenaient à des structures partenaires ou à des agents des caisses, et comment leurs identifiants ont été obtenus. Il n'a aucun élément sur un piratage direct des serveurs de Vacaf.
Le reste à charge donne de la crédibilité aux faux messages
C'est le point le plus concret pour votre portefeuille. Un escroc qui connaît le prénom de votre enfant, les dates du séjour et la somme restant à payer peut vous écrire comme s'il gérait votre dossier. Il réclamera un règlement par SMS ou par courriel, en se faisant passer pour la CAF ou pour un centre de vacances.
Le montant exact et les dates sont justement ce qui rend le message crédible. Un message qui les cite ne prouve donc rien sur son expéditeur.
La Cnaf prévient d'ailleurs que des tentatives d'escroquerie, d'hameçonnage ou d'usurpation d'identité sont possibles. Elle s'est engagée à informer individuellement les personnes concernées, avec des recommandations, dès que le périmètre sera établi.
Les réflexes à adopter dès maintenant
Le conseil de FrenchBreaches est simple et applicable tout de suite : vérifiez toute demande de paiement liée à un séjour depuis votre espace personnel sur le site officiel de la CAF.
- Ne cliquez sur aucun lien reçu par SMS ou par courriel qui parle d'un séjour, d'une aide ou d'une somme à régler.
- Ouvrez vous-même le site officiel de la CAF et consultez votre espace personnel : si une somme est due, elle y apparaîtra.
- Méfiez-vous d'un message qui cite le nom de votre enfant ou les dates de départ : ces informations figureraient dans les fichiers en vente.
- Attendez le message individuel de la Cnaf avant d'en conclure que votre famille est touchée, et ne confondez pas avec un courriel d'apparence similaire.
Vos données bancaires ne seraient pas en cause, d'après les premières analyses. Le risque principal reste l'arnaque au paiement et l'usurpation d'identité.
Vos questions
Mes coordonnées bancaires ont-elles été volées ?
D'après les premières analyses de la Cnaf, ni les données bancaires des allocataires, ni les mots de passe des services en ligne des Caf ne sont concernés. Ces conclusions sont préliminaires et la caisse n'a pas encore chiffré le périmètre de la fuite.
Mes aides et mes versements de la CAF sont-ils menacés ?
Non, la Cnaf indique que l'incident n'a aucun impact sur le versement des prestations. La plateforme vacaf.org a été suspendue pour sécuriser l'environnement.
Comment saurai-je si ma famille est concernée ?
La Cnaf a annoncé qu'elle informera individuellement les personnes touchées, avec des recommandations, dès qu'elle aura une vision consolidée de l'incident. En attendant, vérifiez toute demande de paiement depuis votre espace personnel sur le site officiel de la CAF.
Sources : BFMTV, clubic.com.