Fuite de données CAF et RSA : les faits publiés par la Cnaf

Vous avez entendu parler d'une fuite de données à la CAF et vous vous demandez si le RSA ou votre dossier d'allocataire sont concernés. Cet article reprend uniquement ce que la Cnaf, la CNIL et Cybermalveillance.gouv.fr ont publié. Nous n'ajoutons aucun chiffre et aucune supposition : quand une information n'est pas confirmée officiellement, nous le disons.

Ce qui s'est passé, selon les communiqués officiels

Dans un communiqué du 10 octobre 2026, la Cnaf (Caisse nationale des allocations familiales) signale un incident de cybersécurité sur Vacaf. Il s'agit du service d'aide aux vacances pour les familles éligibles, qui fonctionne sur la plateforme vacaf.org.

Voici ce que la Cnaf indique :

• une fuite de données de bénéficiaires a été signalée ;
• l'accès à la plateforme a été suspendu à titre conservatoire, et les nouvelles réservations sont suspendues le temps des investigations ;
• les séjours déjà réservés restent valables ;
• les premières analyses indiquent que les données bancaires et les mots de passe des services en ligne des Caf ne font pas partie des données concernées ;
• le service Vacaf est distinct du système qui gère et verse les prestations, dont les versements ne sont pas affectés ;
• une cellule de crise est à l'œuvre, une plainte doit être déposée, et l'ANSSI et la CNIL ont été informées.

Le périmètre exact n'était pas consolidé au moment de ce communiqué. Nous ne donnons donc aucun nombre de personnes concernées : aucune source officielle lue n'en publie.

Et le RSA ?

La recherche « fuite de données CAF RSA » est fréquente, mais le communiqué sur Vacaf ne parle pas du RSA. Aucune source officielle que nous avons lue ne rattache cet incident au RSA ou aux autres prestations versées par les Caf. Si vous percevez le RSA, rien n'indique à ce jour, dans ces communiqués, que votre dossier ait été touché. Seule la Cnaf peut le confirmer pour votre situation.

L'épisode précédent publié par la Cnaf

La Cnaf a déjà communiqué sur une autre situation, distincte de l'incident Vacaf :

• 18 décembre 2025. Après la revendication d'un groupe de pirates, la Cnaf indique n'avoir détecté aucune intrusion dans son système d'information. Elle estime que les données diffusées semblent provenir d'autres services publics avec lesquels elle échange des informations, et précise que ces données ne comprennent ni coordonnées bancaires ni mots de passe d'accès à Mon Compte. Elle annonce aussi un renforcement de l'authentification par téléphone.

Suis-je concerné ?

Voici le principe général que rappelle la CNIL. Lorsqu'une violation de données vous expose à des risques, l'organisme doit vous informer dans les meilleurs délais. Pour Vacaf, la Cnaf annonce qu'elle informera individuellement les personnes concernées, avec des conseils pour se protéger, une fois le périmètre confirmé.

La CNIL ne peut pas vous dire si vos données figurent dans un fichier. Elle déconseille d'ailleurs les sites qui prétendent le faire à sa place. Pour une réponse fiable, adressez-vous à la Caf, depuis vos canaux habituels (votre espace Mon Compte ou le site officiel).

Les risques : surtout l'hameçonnage

La Cnaf appelle à la vigilance face aux tentatives d'escroquerie, d'hameçonnage et d'usurpation d'identité qui pourraient profiter de la situation. Concrètement, un faux message « de la CAF » peut annoncer un remboursement, un dossier bloqué ou une mise à jour obligatoire pour vous pousser à cliquer ou à donner des informations.

Que faire, dans l'ordre

1. Ne cliquez pas sur un lien reçu. Saisissez vous-même l'adresse du site officiel de la Caf. La Cnaf recommande de vérifier que la page est en https avec un cadenas, et de se méfier des courriels mal rédigés.
2. Protégez votre compte. Choisissez pour Mon Compte un mot de passe que vous n'utilisez nulle part ailleurs, ne le partagez avec personne et activez la double authentification proposée. Un gestionnaire de mots de passe aide à en avoir un par service.
3. Signalez les SMS suspects. Selon Cybermalveillance.gouv.fr, vous pouvez les signaler sur la plateforme 33700, ou les transférer par SMS au 33700, gratuitement.
4. Si vous avez donné des informations de paiement, contactez immédiatement votre banque pour faire opposition, et conservez les preuves (captures d'écran, messages).
5. Si vos données servent à votre insu, suivez les démarches de notre article sur l'usurpation d'identité.

Voir ce qui est visible à votre sujet

Pour savoir quelles informations circulent sur vous, Remove Me propose une analyse gratuite, sans compte. Le service cherche dans les résultats web publiquement visibles, dans les fuites de données publiques connues et dans un registre de courtiers en données, puis affiche un bilan débloqué par un code à 6 chiffres reçu par e-mail.

Une précision honnête : un bilan vide ne prouve pas que rien n'existe, car l'analyse ne voit que ce qui est public. Remove Me ne peut pas dire si vous êtes concerné par l'incident Vacaf, et n'envoie pas encore de demandes d'effacement à votre place.

Lancer mon analyse gratuite

Pour aller plus loin

• Les gestes à connaître après n'importe quelle fuite : que faire après une fuite de données personnelles.
• La vue d'ensemble : fuite de données personnelles, le guide complet.
• Si un faux message vous a piégé : usurpation d'identité, les démarches dans l'ordre.

Sources

• Cnaf, Incident de cybersécurité concernant le service Vacaf
• Cnaf, Cyberattaque : la Cnaf confirme la sécurité de son système d'information
• CNIL, Fuite ou vol de données
• Cybermalveillance.gouv.fr, Le smishing