12/10
Nouvelle cyberattaque d’une plateforme publique : la CAF touchée
La Caisse nationale des allocations familiales (Cnaf) a confirmé une fuite de données touchant Vacaf, sa plateforme d’aide aux vacances. Le site a été suspendu par précaution et les nouvelles réservations sont interrompues. Si les données bancaires et les mots de passe des comptes Caf ne seraient pas concernés, un pirate affirme avoir dérobé près de 1,2 million de dossiers.
Les cyberattaques continuent de viser les services publics français. Ce samedi 10 octobre, la Caisse nationale des allocations familiales (Cnaf) a annoncé un incident de cybersécurité touchant Vacaf, la plateforme qui permet aux familles éligibles de bénéficier d’aides pour financer leurs vacances ou les séjours de leurs enfants.
Selon l’organisme, une fuite de données a été signalée par ses équipes vendredi soir, après la revendication d’un pirate. Par mesure de précaution, le site vacaf.org a été suspendu jusqu’à nouvel ordre. Hébergée par un prestataire externe, la plateforme est pilotée par la Caf de l’Hérault.
À ce stade, la Cnaf ne précise ni le nombre de personnes concernées ni la nature exacte des informations compromises. Ses premières analyses indiquent toutefois que les données bancaires et les mots de passe permettant d’accéder aux services en ligne des Caf n’auraient pas été touchés. Le site spécialisé FrenchBreaches rapporte néanmoins qu’un pirate affirme détenir 1 191 967 dossiers d’allocataires. Ce chiffre reste à prendre avec précaution, dans l’attente des conclusions définitives des investigations.
La Cnaf indique avoir informé l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la Commission nationale de l’informatique et des libertés (CNIL). Une plainte doit également être déposée. L’incident n’affecte pas le versement des prestations sociales. La Cnaf précise que le système Vacaf est totalement séparé de celui qui gère les paiements aux allocataires. Les séjours déjà réservés sont donc maintenus, mais les nouvelles réservations sont suspendues jusqu’à nouvel ordre.
Les personnes concernées doivent être informées individuellement dans les meilleurs délais. En attendant, la Cnaf appelle à la vigilance face aux tentatives d’hameçonnage et d’usurpation d’identité qui pourraient exploiter cette fuite. Des pirates pourraient notamment utiliser des informations personnelles dérobées pour envoyer de faux SMS ou e-mails se faisant passer pour la Caf.
Cet incident s’ajoute à une série de violations ayant touché des organismes publics français. La Caf avait déjà confirmé une fuite de données en décembre dernier, avant qu’une autre affaire ne concerne des bénéficiaires du RSA, dont les informations avaient été compromises par l’intermédiaire d’un service de l’État. D’autres organismes, comme les impôts, l’Agence nationale des titres sécurisés (ANTS) ou France Travail, ont également été confrontés à des incidents de cybersécurité, voire même l’Anssi.