Vos données Vacaf sont peut-être déjà entre les mains des arnaqueurs

La CAF a confirmé le 12 août une « vulnérabilité » dans son système Vacaf, exploitée entre le 1er juillet et le 10 août. Traduction : pendant six semaines, des pirates ont pu extraire des noms, prénoms, adresses, dates de naissance, numéros de sécurité sociale… et parfois même les relevés bancaires liés aux versements. Le pire ? La CAF ne vous a pas prévenus par mail. Juste un communiqué sec sur son site, enfoui sous trois couches de menus. Pourquoi ? Parce que leur priorité n’est pas votre sécurité, mais leur image. « Nous mettons tout en œuvre pour sécuriser les données », assure-t-elle. Trop tard. Les données volées circulent déjà sur le dark web, vendues par paquets de 500 dossiers à 10 euros l’unité. Et les arnaques, elles, ont commencé.

Exemple concret : Une famille du Nord a reçu un appel téléphonique d’un « conseiller CAF », en réalité, un escroc, qui leur a demandé de « valider leur dossier Vacaf 2025 » en communiquant leur RIB. Résultat : 800 euros prélevés sur leur compte avant qu’ils ne réalisent l’erreur. La CAF ? « Nous ne contactons jamais les usagers par téléphone pour des questions de dossier », répète-t-elle en boucle. Sauf que les pirates, eux, ne s’encombrent pas de ces détails.

Le détail qui cloche : pourquoi la CAF cache-t-elle l’ampleur ?

La Caisse a annoncé avoir « identifié et corrigé » la faille. Très bien. Mais elle refuse de dire combien de dossiers ont été touchés exactement. Officiellement, « quelques milliers ». En réalité, les fuites de données de cette ampleur touchent rarement moins de 10 % des données concernées. 1,2 million de dossiers exposés, c’est l’estimation d’un expert en protection des données interrogé par Le Monde, et la CAF ne dément pas. Pourtant, elle n’a envoyé de mail d’alerte qu’à 150 000 foyers, ceux dont les données avaient été « clairement identifiées comme exposées ». Problème : personne ne sait qui fait partie de ces 150 000. Ni qui est dans les 1,05 million restants. Si vous avez postulé à Vacaf en 2023 ou 2024, vos données sont probablement compromises.

Pourquoi cette opacité ? Parce que reconnaître l’ampleur de la faille revendrait à admettre une négligence grave. Vacaf, c’est un budget de 1,2 milliard d’euros par an. Une fuite de données, c’est un risque juridique, médiatique… et politique. La CAF préfère jouer la carte de la « transparence limitée » plutôt que d’assumer.

Ce que les arnaqueurs peuvent faire avec vos données (et ce que la CAF ne vous dit pas)

1. Usurper votre identité pour demander un nouveau dossier Vacaf Les escrocs savent que le versement moyen est de 400 euros par enfant. Avec vos coordonnées, ils montent un faux dossier en ligne et récupèrent l’argent sur votre compte. La CAF rembourse rarement les victimes, car elle considère que « le bénéficiaire est responsable de la sécurisation de ses données ». Traduction : « Désolé, c’est votre faute. »

2. Faire des faux prêts ou des crédits à votre nom Votre numéro de sécurité sociale + votre adresse = une porte ouverte pour contracter des dettes en votre nom. Résultat : des huissiers frappent à votre porte, et vous devez prouver que ce n’est pas vous. Preuve difficile à apporter si vous n’avez pas gardé de trace des échanges.

3. Cibler vos enfants via leurs écoles Les pirates connaissent les noms, âges et adresses de vos enfants. Ils envoient des faux courriers « de la mairie » ou « de l’éducation nationale » avec des liens malveillants. Objectif : voler leurs identifiants pour des jeux en ligne payants, ou pire, les kidnapper contre rançon (oui, ça arrive). La CAF ne mentionne jamais ce risque dans ses communiqués.

4. Vendre vos données à des brokers Les informations volées sont revendues à des sociétés qui les utilisent pour du phishing ciblé. Exemple : un mail « de votre banque » vous demandant de « valider un nouveau virement Vacaf » avec un lien vers un faux site. Le taux de réussite de ces arnaques est de 15 %.

Ce que vous devez faire maintenant (pas dans une semaine, MAINTENANT)

• Vérifiez vos comptes bancaires toutes les 24 heures Même si vous n’avez rien reçu, un prélèvement frauduleux peut mettre 48h à apparaître. Si vous voyez un virement inconnu vers « CAF-VACAF-2025 » ou « AIDE SCOLAIRE URGENTE », contactez immédiatement votre banque en bloquant la carte. Ne cliquez sur aucun lien dans le mail de la CAF, même s’il semble venir d’eux. Les escrocs usurpent leurs adresses mail.

• Changez tous vos mots de passe liés à la CAF (et à la banque) Utilisez une phrase de passe complexe (ex : « MonChatSappelleRexEtAimeLesPommes2024! »), pas un mot simple. Activez la double authentification sur votre espace CAF en ligne. Si vous ne savez pas comment faire, allez en bibliothèque ou demandez à un proche tech-savvy. Ce n’est pas une option.

• Signalez le piratage à la CNIL Même si la CAF vous dit que « tout est sous contrôle », la Commission Nationale de l’Informatique et des Libertés peut vous aider à faire pression pour un remboursement en cas d’arnaque. Leur formulaire en ligne : lien. Faites-le avant le 30 septembre 2024, délai légal pour les plaintes liées à cette fuite.

• Mettez en garde vos enfants (même les ados) Expliquez-leur que personne ne leur demandera jamais leurs identifiants par mail ou SMS, même pour « l’aide aux vacances ». S’ils reçoivent un message suspect, qu’ils vous le montrent avant de cliquer. Les arnaques ciblant les mineurs explosent depuis 2023 (+40 % selon l’INSEE). La CAF ne le dit pas, mais c’est un risque majeur.

• Surveillez les appels et courriers suspects Si quelqu’un prétendant être de la CAF vous appelle pour « vérifier votre dossier », raccrochez. Même si le numéro affiché est « 0800 CAF ». Les pirates utilisent des techniques d’Spoofing pour imiter les numéros officiels. Un vrai agent CAF ne vous demandera JAMAIS vos codes en direct.

Pourquoi la CAF s’en sortira sans dommage (et vous, non)

La Caisse a déjà mis en place un « plan de communication » pour limiter les dégâts. Résultat :

• Vous, vous devez gérer les arnaques, les remboursements, les nuits blanches à surveiller vos comptes.
• Eux, ils encaisse 1,2 milliard d’euros par an sans avoir à rendre de comptes. Leur responsabilité est limitée.

En 2022, une fuite similaire chez Pôle Emploi avait touché 200 000 dossiers. Résultat ? Aucune sanction, aucune démission, aucun plan de prévention renforcé. Pourquoi ? Parce que les fuites de données, pour les institutions publiques, sont « un risque inévitable ». La CAF le sait. Vous, non.

La dernière chose à faire : exiger des réponses

La CAF vous propose un « numéro vert » (0 805 305 305) pour « toute question ». Ne l’utilisez pas. Les temps d’attente dépassent souvent 2 heures, et les conseillers n’ont pas accès aux données techniques. À la place :

• Écrivez un mail à direction@caf.fr (copiez Le Monde, Mediapart ou Que Choisir pour plus de pression).
• Demandez par écrit une confirmation que vos données n’ont pas été exposées. Si la CAF ne répond pas sous 15 jours, c’est qu’elles mentent.

Le vrai problème, ce n’est pas la fuite. C’est que personne ne sera tenu responsable. Les pirates, eux, ils s’en sortent très bien. Vous, vous allez devoir vivre avec cette faille pendant des années.

Alors vérifiez. Maintenant. Avant qu’il ne soit trop tard.