Communiqué : Incident de cybersécurité du service Vacaf
La Cnaf a identifié un incident de cybersécurité concernant le service Vacaf.
Vacaf est le dispositif d'aide aux vacances des Caf. Il permet aux familles éligibles de bénéficier d'aides financières pour partir en vacances ou financer la participation de leurs enfants à des séjours et colonies de vacances.
Ce dispositif s'appuie sur la plateforme nationale vacaf.org, hébergée par un prestataire externe, est pilotée par la Caf de l'Hérault pour le compte du réseau des Caf. Il met en lien les familles et les gestionnaires de centres de vacances.
Des mesures immédiates de protection
Hier soir, une fuite concernant les données des bénéficiaires de ce dispositif a été signalée. L'accès à la plateforme vacaf.org a été rapidement suspendu à titre conservatoire afin de sécuriser l'environnement et de prévenir tout nouvel accès non autorisé.
Une cellule de crise a été activée. Les équipes de la Cnaf, de Vacaf et de la Caf de l'Hérault sont pleinement mobilisées pour déterminer les circonstances de l'incident et en évaluer précisément le périmètre.
Les premières analyses confirment d'ores et déjà que ni les données bancaires des allocataires ni les mots de passe d'accès aux services en ligne des Caf ne figurent parmi les données concernées. La Cnaf et la Caf de l'Hérault mettent en œuvre l'ensemble des procédures prévues par la réglementation en matière de protection des données personnelles. Une plainte sera déposée dans les prochaines heures. L'ANSSI et la CNIL ont été informées.
La protection et l'information des familles comme priorité
La Cnaf mesure les préoccupations que cette situation peut susciter pour les familles concernées ou susceptibles de l'être.
Dès qu'elle disposera d'une vision consolidée du périmètre de l'incident, la Cnaf, en lien avec la Caf de l'Hérault, informera individuellement les personnes concernées et leur communiquera les recommandations utiles pour se protéger contre d'éventuelles tentatives d'escroquerie, d'hameçonnage ou d'usurpation d'identité.
Dans l'attente des conclusions définitives des investigations, la Cnaf appelle chacun à la vigilance face à d'éventuelles tentatives d'escroquerie, d'hameçonnage ou d'usurpation d'identité qui pourraient exploiter le contexte de cet incident.
Aucun impact sur le versement des prestations
Cet incident n'a aucun impact sur le versement des prestations par les Caf.
La plateforme Vacaf est totalement séparée du système d'information qui assure la gestion et le paiement des prestations. L'incident n'a donc aucun impact sur le système d'information des Caf et les prestations continuent d'être versées normalement.
Les séjours déjà réservés par l'intermédiaire de Vacaf ne sont pas remis en cause et peuvent être maintenus dans les conditions prévues.
En revanche, les nouvelles réservations via la plateforme vacaf.org sont temporairement suspendues pendant la durée des investigations et des opérations de sécurisation. Une communication spécifique sera réalisée dès que les conditions permettront la réouverture du service.
Un engagement de transparence
La Cnaf rendra compte de l'avancement de ses investigations et communiquera toute information nouvelle dès lors qu'elle aura été vérifiée et consolidée.