Des noms d’enfants, leurs dates de naissance, le quotient familial de leurs parents et les dates de leurs séjours de vacances sont proposés à la vente sur un forum de cybercriminels. Le vendeur affirme détenir près de 1,2 million de dossiers de VACAF. Ce service gère les aides aux vacances des caisses d’allocations familiales.
Le site de gestion VACAF, ouvert aux centres de vacances partenaires
La CAF de l’Hérault est chargée de la mission nationale VACAF, et 96 caisses adhèrent à ce dispositif, d’après la page de présentation de cette mission. Le pirate dit détenir des dossiers de 58 d’entre elles. Les familles réservent leur séjour auprès de structures labellisées, au nombre de 1 574 en 2025 pour les seules vacances en famille. Chacune de ces structures gère ses réservations sur un site de gestion, où son responsable légal crée lui-même les accès de ses collaborateurs, selon le guide de conventionnement 2025 de VACAF.
En février 2024, après l’intrusion de pirates dans des milliers de comptes d’allocataires avec des mots de passe volés, la CAF avait assuré que « le niveau de sécurité des mots de passe des nouveaux comptes a été renforcé ». Dans ce cas présent, d’après FrenchBreaches, plusieurs comptes utilisateurs sans double authentification auraient été compromis. Le site ne dit pas s’ils appartenaient à des structures partenaires ou à des agents des caisses, ni comment leurs identifiants ont été obtenus. Avec de tels accès, le pirate aurait pu consulter plusieurs modules de gestion à la fois. Le site spécialisé ne dispose toutefois d’aucun élément sur un piratage direct des serveurs de VACAF.
1,19 million de dossiers VACAF, issus de 58 caisses
Le pirate annonce 1 191 967 dossiers d’aide aux vacances sociales. Il affirme aussi détenir 97 269 fiches Pass Colo et 101 322 lignes d’inscriptions à des séjours pour enfants. Avec le Pass Colo, les familles peuvent financer une partie d’un départ en colonie de vacances. Sur sa page consacrée à VACAF, la CAF de l’Hérault fait état de plus de 107 743 familles et 69 522 enfants partis en vacances grâce au dispositif. Un dossier ne correspond pas forcément à une personne, rappelle FrenchBreaches, et une même famille peut apparaître dans plusieurs fichiers. Additionner ces volumes pour compter les victimes serait donc une erreur.
Dans les 500 fiches Pass Colo examinées, les enfants sont répartis dans 91 départements. Dans l’ensemble des fichiers, l’identité d’un enfant est reliée au quotient familial de ses parents, au montant de l’aide accordée, aux dates du séjour et au reste à charge de la famille. Muni de ce dernier montant, un escroc peut réclamer son règlement par SMS ou par courriel, en usurpant l’identité de la CAF ou d’un centre de vacances. Le site spécialisé conseille aux familles de vérifier toute demande de ce type depuis leur espace personnel sur le site officiel de la CAF, sans cliquer sur un lien reçu par message.
Pour FrenchBreaches, la revendication est crédible, mais les 1 500 lignes examinées « ne permettent pas d’authentifier l’intégralité des bases annoncées ».
