VACAF, le dispositif utilisé par les Caisses d’allocations familiales pour gérer les aides aux vacances des familles et des enfants, fait l’objet d’une fuite de données massive. Le hacker Syrv4x affirme avoir récupéré 1 390 558 lignes provenant de plusieurs environnements de vacaf.org et propose désormais la base à la vente.
Les données sont particulièrement sensibles puisqu’elles concernent directement des familles allocataires et leurs enfants. Noms, prénoms, dates de naissance des mineurs, matricules CAF, quotient familial, nombre d’enfants à charge, montants d’aides, séjours en colonie et reste à payer figurent notamment dans les fichiers présentés.
Les éléments communiqués comportent en outre des dates d’export des 8 et 9 octobre 2026, laissant penser à une collecte extrêmement récente.
VACAF, le service qui gère les aides aux vacances des CAF
VACAF accompagne les CAF dans la mise en œuvre de leurs politiques d’aide aux vacances. Le dispositif permet notamment aux familles disposant de ressources modestes de bénéficier d’une prise en charge partielle de séjours en camping, villages vacances ou colonies.
Le portail vacaf.org intervient notamment dans la gestion de l’Aide aux vacances familles (AVF), de l’Aide aux vacances enfants (AVE) et du Pass Colo.
Ces aides sont directement liées à la situation des foyers : composition familiale, nombre d’enfants et quotient familial CAF peuvent notamment intervenir dans l’éligibilité ou le calcul du montant pris en charge.
Trois fichiers pour un total de 1 390 558 lignes
La base présentée par Syrv4x n’est pas constituée d’un fichier unique. Elle regroupe trois ensembles de données différents correspondant à plusieurs fonctionnalités du système VACAF.
Le plus important, consacré aux allocataires, contient 1 191 967 lignes. Un deuxième fichier associé au Pass Colo contient 97 269 lignes. Enfin, un export consacré aux enfants inscrits à des séjours comprend 101 322 lignes supplémentaires.
L’ensemble représente exactement 1 390 558 enregistrements. Ce chiffre ne correspond toutefois pas à 1,39 million de personnes différentes : une même famille ou un même bénéficiaire peut apparaître dans plusieurs fichiers ou plusieurs réservations.
L’analyse fournie avec les données fait apparaître 1 139 607 matricules distincts parmi les différents enregistrements.
Plus de 1,19 million de fiches de familles allocataires
Le premier fichier est de loin le plus préoccupant par son volume. Il contient 1 191 967 fiches associées à des allocataires VACAF.
Chaque fiche peut comporter le nom et le prénom de l’allocataire, sa CAF de rattachement, son matricule, son quotient familial, le nombre d’adultes composant le foyer, le nombre d’enfants et le nombre d’enfants à charge au sens de la CAF.
Mais les informations vont beaucoup plus loin : les enfants du foyer apparaissent également individuellement avec leurs nom, prénom et date de naissance.
Selon l’analyse de la base, 1 191 918 des 1 191 967 fiches contiennent au moins un enfant. Le nombre moyen indiqué est d’environ 2,05 enfants par fiche, avec jusqu’à 12 enfants recensés pour certains foyers.
Des dates de naissance de mineurs et le quotient familial exposés
Cette combinaison rend l’exposition particulièrement sensible. Pour un même foyer, les données peuvent permettre de connaître l’identité du parent allocataire, celle de ses enfants, leurs dates de naissance, la composition du foyer et son quotient familial.
Le quotient familial constitue par ailleurs une information permettant d’apprécier indirectement la situation économique d’un ménage. Il est justement utilisé par les CAF pour déterminer l’accès ou le niveau de certaines aides aux vacances.
Cyberattaque.org ne reproduit évidemment aucune identité ni information concernant les enfants apparaissant dans les exemples disponibles.
97 269 bénéficiaires du Pass Colo dans un autre fichier
Un deuxième ensemble concerne spécifiquement le Pass Colo, aide financée par l’État destinée à favoriser le départ en colonie de vacances des enfants autour de leurs 11 ans.
Le fichier comporte 97 269 fiches distinctes. Les données comprennent notamment le nom et le prénom de l’enfant, son département, son matricule, le quotient familial du foyer ainsi que le montant du Pass Colo disponible ou déjà utilisé.
Les montants visibles dans les exemples vont notamment de 200 à 350 euros, ce qui correspond au fonctionnement du Pass Colo, dont la valeur varie en fonction du quotient familial.
Les données couvrent une centaine de codes départementaux, ce qui montre que l’exposition ne semble pas limitée à une CAF locale mais concerne des bénéficiaires répartis sur une grande partie du territoire.
Les colonies de vacances et les montants payés apparaissent aussi
Le troisième fichier contient 101 322 lignes relatives à des enfants inscrits dans des séjours.
On y retrouve notamment le numéro de réservation, le nom du groupe ou du séjour, ses dates, sa durée, le nombre d’enfants, le coût total ainsi que l’identité de l’enfant concerné.
Les données détaillent aussi le financement du séjour avec le coût associé à l’enfant, la prise en charge AVE, le Pass Colo, les éventuelles autres aides et le reste à charge pour la famille.
Un fichier de ce type permet donc potentiellement de relier l’identité d’un mineur à un séjour précis, une période de vacances, un organisme et des informations financières relatives à sa famille.
Une extraction qui semble avoir été réalisée les 8 et 9 octobre
Un détail technique rend cette fuite particulièrement récente. Les fiches comportent un champ indiquant l’heure d’export et plusieurs exemples montrent des extractions réalisées entre le 8 et le 9 octobre 2026.
Les URL présentes dans les données pointent également vers des pages du millésime 2026 de vacaf.org, notamment des interfaces consacrées aux allocataires AVS et AVE.
Ces éléments sont cohérents avec une collecte effectuée directement depuis des interfaces utilisées cette année, plutôt qu’avec la remise en circulation d’une ancienne base historique.
Un compte ou une interface partenaire pourrait être à l’origine de l’accès
La structure des données fournit également quelques indices sur la manière dont elles ont pu être récupérées. Certaines fiches mentionnent une interface d’édition d’allocataire et un champ identifiant le compte utilisé pour accéder aux informations.
Cela pourrait correspondre à un accès depuis l’environnement mis à disposition des structures et organismes partenaires VACAF, qui doivent pouvoir consulter les droits d’une famille afin d’organiser une réservation et calculer le reste à charge.
Il est cependant impossible à ce stade de déterminer si Syrv4x a exploité un compte compromis, un défaut de contrôle d’accès, une vulnérabilité technique ou une autre méthode. Le hacker ne détaille pas publiquement son mode opératoire.
Une fuite particulièrement sensible parce qu’elle concerne des enfants
Au-delà de son volume, cette fuite se distingue surtout par la nature des personnes concernées. Une part importante des informations porte directement sur des enfants, parfois très jeunes.
Les noms, prénoms et dates de naissance peuvent être reliés à leurs parents, à leur CAF, à leur quotient familial et, dans certains fichiers, à leurs séjours en colonie et aux aides financières utilisées pour les financer.
Ces informations peuvent favoriser des campagnes de phishing particulièrement crédibles. Un fraudeur pourrait par exemple se faire passer pour une CAF, VACAF ou un organisme de séjour en évoquant le Pass Colo, une réservation réelle ou le montant d’une aide.
Le risque de croisement avec d’autres fuites est également important : un matricule, une identité, une date de naissance et la composition d’un foyer peuvent permettre d’enrichir considérablement un profil déjà constitué à partir d’autres bases compromises.
1,39 million de lignes ne signifie pas 1,39 million de victimes
Le chiffre de 1 390 558 correspond à la somme des lignes des trois fichiers et non au nombre de personnes touchées.
Les mêmes matricules peuvent apparaître dans plusieurs ensembles : une famille peut être recensée dans la base générale des allocataires, puis retrouver l’un de ses enfants dans le fichier Pass Colo ou dans une réservation de séjour.
La base contient néanmoins 1 139 607 matricules distincts, ce qui donne une première indication de l’ampleur considérable de l’exposition sans permettre de convertir directement ce chiffre en nombre de personnes uniques.
À ce stade, VACAF ou la Caisse nationale des allocations familiales n’ont pas publiquement confirmé cette fuite. Les volumes complets restent donc ceux avancés par Syrv4x, mais les échantillons diffusés montrent bien des données structurées relatives aux allocataires CAF, à leurs enfants, au Pass Colo et aux réservations de séjours VACAF pour l’année 2026.