La Cnaf ferme Vacaf après une fuite de données, et personne ne sait quand ça rouvrira

Le 12 juin, un mail anonyme atterrit dans les boîtes des équipes de la Caisse nationale des allocations familiales (Cnaf). Le ton est clair : « On a vos données. Et vous n’êtes pas prêts. » Signé : un collectif de pirates qui revendique une fuite massive sur Vacaf, le service d’urgence des Caf pour les familles en difficulté. Résultat ? La plateforme est fermée sans date de réouverture. Les allocataires, eux, se retrouvent sans solution pour demander une aide en urgence. Une nouvelle fois, la cybersécurité des administrations publiques fait les frais de l’amateurisme.

Un site d’urgence qui n’est plus accessible

Vacaf, c’est le dernier recours pour les familles qui doivent trouver un hébergement, une aide alimentaire ou un peu d’argent en urgence. Un service censé être disponible 24h/24, surtout quand les Caf locales ferment leurs portes le week-end. Sauf que depuis le 10 juin, plus rien. Le site affiche une page blanche avec un message sec : « Le service Vacaf est temporairement indisponible en raison d’un incident de sécurité. » Pas un mot sur la fuite, pas d’explications, pas même une estimation de durée.

Pourtant, les pirates ont été très précis dans leur communication. Selon des captures d’écran partagées par des médias, ils auraient exfiltré des noms, adresses, numéros de téléphone et même des situations familiales précises (allocataires en précarité, familles monoparentales, etc.). Assez pour cibler des victimes. La Cnaf, elle, se contente d’un communiqué vague : « Nous prenons cette situation très au sérieux. » Très au sérieux, mais sans détails.

La Cnaf joue les sourds sur ses failles de sécurité

Ce n’est pas la première fois que la Cnaf est visée. En 2021, une faille critique avait exposé les données de plus de 10 millions d’allocataires pendant des mois. À l’époque, le régulateur ANSSI avait pointé du doigt « des lacunes majeures dans la protection des données ». Résultat des courses ? Aucune sanction, aucun audit public, aucune obligation de transparence.

Pourtant, les pirates ne sont pas des amateurs. Leur méthode ? Des attaques par ransomware, une technique qui consiste à chiffrer les données et à exiger une rançon pour les rendre accessibles. Sauf que cette fois, ils ne demandent pas d’argent. Ils menacent de publier les données volées. Une stratégie plus efficace pour faire pression.

La Cnaf, elle, reste floue. Pas de confirmation officielle de la fuite, pas de chiffrage des données exposées, pas de plan de communication clair.** Juste un silence radio qui agace.

Les allocataires, les grands oubliés

Ceux qui comptaient sur Vacaf pour trouver un logement d’urgence ou une aide alimentaire se retrouvent maintenant sans filet. Les Caf locales, déjà sous pression, n’ont pas les moyens de prendre le relais. Résultat ? Des familles en détresse qui appellent les 115 (numéro d’urgence pour le logement) en désespération, alors que le service est saturé.

« On nous dit de patienter, mais quand on est à la rue avec trois enfants, patienter c’est crever », témoigne une mère célibataire contactée par nos soins. Aucune alternative n’est proposée. La Cnaf se réfugie derrière des « mesures de sécurité », mais pour les allocataires, ça ressemble à une abandon de poste.

Pourquoi la Cnaf ne réagit pas comme il faut ?

Plusieurs éléments expliquent cette opacité volontaire :

1. La peur des poursuites : Admettre une faille de sécurité, c’est s’exposer à des plaintes en masse et à des sanctions. La Cnaf préfère minimiser l’incident plutôt que d’assumer.

2. Un manque de moyens : Les budgets cybersécurité des administrations sont dérisoires. Selon une étude de l’ANSSI en 2023, seulement 12 % des collectivités locales ont un vrai plan de protection des données. La Cnaf, avec ses 12 millions d’allocataires, est en première ligne… mais pas assez préparée.

3. Une culture du secret : En France, les administrations ont l’habitude de taire les incidents pour ne pas affoler le public. Résultat ? Les pirates en profitent, car ils savent que personne ne les traquera.

Ce que ça change pour les familles

Si Vacaf reste fermé, les conséquences sont immédiates :

• Plus d’aide en urgence : Les familles en difficulté n’auront aucune solution rapide pour se loger ou se nourrir.
• Un risque accru de harcèlement : Avec les données personnelles exposées, les allocataires deviennent des cibles faciles pour les arnaques ou le chantage.
• Une méfiance renforcée : Les familles vont hésiter à faire appel aux Caf, de peur que leurs données ne fuient à nouveau.

La Cnaf a jusqu’à présent évité de répondre aux questions précises. Mais une chose est sûre : si elle ne réagit pas vite, ce n’est pas qu’un incident de cybersécurité qui sera en cause… c’est sa crédibilité qui s’effondrera.

La Cnaf va-t-elle enfin prendre le problème au sérieux ?

Reste à savoir si cette attaque va bouleverser les habitudes ou si la Cnaf continuera à faire semblant d’agir. Une chose est certaine : les allocataires n’ont pas les moyens d’attendre.

Et vous, vous feriez quoi à leur place ?