Fuite de données Vacaf : ce que les directeurs d’ACM doivent savoir

Depuis le 10 octobre 2026, des familles qui ont déjà réservé un séjour avec l’aide de la Caf vous posent peut-être la question : « mes données sont-elles concernées par le piratage de Vacaf ? ». Le dispositif national d’aide aux vacances a confirmé une fuite de données, et l’incident touche directement le public des accueils collectifs de mineurs (ACM) et des colonies. Voici les faits vérifiés, ce qu’il reste à confirmer, et comment en parler aux familles sans les alarmer inutilement.

Ce que l’on sait de la fuite Vacaf

Dans un communiqué du 10 octobre 2026, la Caisse nationale des allocations familiales (Cnaf) a confirmé un incident de cybersécurité touchant Vacaf, le dispositif qui permet aux familles de financer une partie d’un séjour, d’une colonie ou d’un accueil de loisirs grâce à leur Caf. La plateforme vacaf.org, hébergée par un prestataire externe et pilotée par la Caf de l’Hérault pour le compte du réseau, a été suspendue à titre conservatoire. Une cellule de crise réunit la Cnaf, Vacaf et la Caf de l’Hérault. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la Commission nationale de l’informatique et des libertés (CNIL) ont été informées, et une plainte doit être déposée.

Un pirate affirme, sur un forum spécialisé, détenir des fichiers issus de Vacaf et les propose à la vente. D’après les extraits analysés par le site spécialisé FrenchBreaches et relayés par plusieurs médias, ces fichiers regrouperaient environ 1,19 million de dossiers d’aides aux vacances répartis entre 58 Caf, auxquels s’ajouteraient près de 97 000 fiches liées au Pass Colo et plus de 101 000 enregistrements de séjours pour enfants. Ces chiffres n’ont pas été confirmés officiellement par la Cnaf et ne correspondent pas nécessairement à autant de personnes différentes : un même enfant ou une même famille peut apparaître dans plusieurs dossiers.

Quelles données seraient concernées

Selon les mêmes extraits, les fichiers contiendraient les noms et prénoms des parents et des enfants, leurs dates de naissance, le numéro de dossier Caf, le quotient familial, le montant de l’aide versée, ainsi que les dates et le lieu du séjour. Point important à transmettre aux familles qui vous interrogent : selon les premières analyses de la Cnaf, ni les coordonnées bancaires des allocataires ni les mots de passe des services en ligne des Caf ne figurent parmi les données concernées.

La Cnaf précise également que cet incident n’a aucun impact sur le versement des prestations familiales, le système de paiement étant distinct de la plateforme Vacaf. Les séjours déjà réservés restent valables. En revanche, aucune nouvelle réservation n’est possible sur Vacaf pour l’instant, sans date de réouverture annoncée au moment de la rédaction de cet article.

Un directeur d’ACM est-il directement concerné ?

Vacaf est un service de la Caf, pas un outil de votre structure : vous n’avez probablement aucune action technique à mener sur vos propres systèmes à la suite de cet incident précis. Mais deux raisons font que le sujet vous revient quand même :

• Des familles inscrites dans votre centre ou votre séjour ont pu financer leur place grâce à Vacaf, et elles vous poseront la question avant de la poser à la Caf.
• La Cnaf annonce qu’elle contactera individuellement les personnes concernées une fois le périmètre de la fuite établi. Ce contact se fera directement entre la Caf et les familles, pas par votre intermédiaire.

Que répondre à une famille qui vous interroge

Vous n’êtes pas tenu d’avoir une réponse technique : votre rôle est de rassurer sans minimiser, et de renvoyer vers les bons canaux. Trois points suffisent :

• L’incident concerne Vacaf et la Caf, pas votre structure ni les outils que vous utilisez pour gérer les inscriptions.
• Les prestations continuent d’être versées normalement, et un séjour déjà réservé reste valable.
• Si leurs données sont concernées, la Caf les contactera directement avec des recommandations personnalisées ; d’ici là, la CNIL et Cybermalveillance.gouv.fr conseillent de rester attentif à tout message, appel ou courrier inhabituel se présentant comme venant de la Caf, de ne jamais cliquer sur un lien reçu par e-mail ou SMS à ce sujet, et de toujours passer par l’adresse officielle du service en cas de doute.

Ce que cet incident rappelle sur vos propres données

Un ACM gère lui aussi des informations sensibles sur des mineurs : fiches sanitaires, coordonnées des responsables légaux, parfois des informations médicales. Cet incident est l’occasion de vérifier, avec votre équipe, quelques réflexes simples : qui a accès à ces documents, sont-ils transmis par e-mail en clair, combien de copies papier circulent pendant un séjour, et que devient un dossier une fois le séjour terminé. Ce ne sont pas des obligations nées de l’affaire Vacaf, mais des principes du règlement général sur la protection des données (RGPD) qui s’appliquent à toute structure traitant des données de mineurs.

Et dans Koloni ? Les fiches sanitaires, coordonnées des familles et dossiers d’inscription sont centralisés dans un espace accessible uniquement aux comptes autorisés de l’organisation, selon le rôle de chacun (directeur, assistant sanitaire, gestionnaire…). Koloni vous aide à limiter la circulation de ces documents par e-mail ou sur papier, mais la vigilance de l’équipe face aux tentatives d’hameçonnage reste la première protection.

À retenir

• La Cnaf a confirmé le 10 octobre 2026 une fuite de données touchant Vacaf ; l’accès à vacaf.org est suspendu et une cellule de crise est activée.
• Un pirate revendique environ 1,2 million de dossiers (chiffre non confirmé officiellement) ; les coordonnées bancaires et mots de passe ne seraient pas concernés.
• Le versement des prestations et les séjours déjà réservés ne sont pas affectés ; les nouvelles réservations sont suspendues.
• Les familles concernées seront contactées directement par la Caf : votre rôle est de rassurer et d’orienter, pas de gérer l’incident à leur place.
• C’est aussi l’occasion de vérifier vos propres pratiques de protection des données de mineurs (fiches sanitaires, accès, durée de conservation).

Sources

• Cnaf, communiqué « Incident de cybersécurité concernant le service Vacaf », 10 octobre 2026
• MacGeneration, « Caf : une fuite de données touche le service Vacaf, près de 1,2 million de dossiers revendiqués », 12 octobre 2026
• Clubic, « Un pirate revendique près de 1,2 million de dossiers liés aux aides vacances de la Caf »
• CNIL, « Fuite ou vol de données : comment savoir si cela vous concerne et que pouvez-vous faire ? »