Un SMS cite le nom de votre enfant et les dates de son séjour ? Méfiance, c’est peut-être la fuite Vacaf

Un message qui connaît le prénom de votre enfant, les dates de son séjour et vous demande de régler un reste à charge fait immédiatement froid dans le dos. Le réflexe à avoir tout de suite : ne cliquez sur aucun lien, ne payez rien, et vérifiez la demande vous-même depuis votre espace personnel sur le site officiel de la CAF. Avant de comprendre d’où viennent ces informations, c’est ce geste qui vous protège.

Un pirate affirme avoir mis en vente, sur un forum de cybercriminels, des données liées aux aides aux vacances Vacaf. Les informations proposées sont justement celles qu’un faux message peut reprendre. Rien ne prouve qu’un SMS donné provient de cette fuite, mais cela explique pourquoi certains messages paraissent aussi précis.

Un SMS avec le prénom de votre enfant : est-ce lié à la fuite Vacaf ?

Pour l’instant, rien ne permet de relier avec certitude un message précis à cette fuite. Ce qui inquiète, c’est la cohérence de l’ensemble : l’identité d’un enfant y est reliée aux dates de son séjour et au reste à charge de la famille. Un escroc qui dispose de ces éléments peut écrire un message qui semble venir de la CAF ou d’un centre de vacances, avec les bons détails pour rassurer.

Le scénario typique consiste à réclamer un paiement par SMS ou par courriel, en se faisant passer pour l’organisme. Le texte paraît administratif, il évoque un séjour bien réel et demande une régularisation rapide. C’est précisément cette combinaison qui rend le message trompeur.

Quelles données ont été exposées dans la fuite Vacaf

Vacaf est le service qui gère les aides aux vacances des caisses d’allocations familiales. La mission nationale est portée par la CAF de l’Hérault, et 96 caisses y adhèrent. Le pirate dit détenir des dossiers provenant de 58 d’entre elles, pour un total qu’il annonce à près de 1,2 million de dossiers.

Selon ses déclarations, les fichiers comprendraient 1 191 967 dossiers d’aide aux vacances sociales, 97 269 fiches Pass Colo et 101 322 lignes d’inscriptions à des séjours pour enfants. Le Pass Colo permet de financer une partie d’un départ en colonie de vacances. Dans les 500 fiches Pass Colo examinées, les enfants sont répartis dans 91 départements.

Dans l’ensemble des fichiers, l’identité d’un enfant est reliée au quotient familial de ses parents, au montant de l’aide accordée, aux dates du séjour et au reste à charge. Une fois ce dernier montant connu, un escroc sait exactement quelle somme réclamer. Plusieurs comptes utilisateurs sans double authentification auraient été compromis, mais on ignore s’ils appartenaient à des structures partenaires ou à des agents des caisses.

Pourquoi ces SMS peuvent paraître crédibles

Un message frauduleux gagne en force parce qu’il s’appuie sur des détails vrais. Le nom de l’enfant, la période de départ et le montant restant à payer donnent l’impression que l’expéditeur connaît le dossier. Le faux message peut usurper l’identité de la CAF ou celle d’un centre de vacances, et chacun de ces organismes paraît légitime au premier coup d’œil.

Cette nuance ne doit pas faire baisser la garde. Un seul message bien construit suffit à piéger une famille, quel que soit le nombre de dossiers réellement touchés. Traiter tout message de ce type comme suspect tant qu’il n’a pas été vérifié reste la meilleure protection.

Que faire si vous recevez un SMS suspect

Quelques gestes simples permettent d’éviter le piège, même si le message semble authentique :

1. Ne cliquez sur aucun lien et ne répondez pas au message.
2. Ne payez rien, ni par carte bancaire, ni par virement, ni en communiquant un code reçu.
3. Ouvrez vous-même le site officiel de la CAF ou son application, connectez-vous à votre espace personnel et regardez si une demande existe réellement.
4. En cas de doute, appelez votre caisse avec le numéro figurant sur son site officiel, jamais celui indiqué dans le message.
5. Changez votre mot de passe et activez la double authentification si ce n’est pas déjà fait.

Si vous avez déjà transmis des coordonnées bancaires, prévenez votre banque sans attendre. Vous pouvez aussi signaler le message sur la plateforme gouvernementale de signalement et conserver une copie de l’échange, utile en cas de dépôt de plainte pour usurpation.

Ce qui n’est pas touché et ce que l’on ne sait pas encore

Aucun élément disponible ne fait état d’un piratage direct des serveurs de Vacaf. À ce stade, rien n’indique non plus que les prestations versées ou les réservations en cours aient été modifiées. Les fichiers annoncés concernent surtout les données des séjours et des aides passées.

Plusieurs inconnues subsistent. On ne sait pas comment les identifiants ont été obtenus, ni si les comptes concernés relevaient des structures partenaires ou des caisses. Selon l’analyse disponible, les 1 500 lignes examinées « ne permettent pas d’authentifier l’intégralité des bases annoncées ». La revendication paraît crédible, sans être vérifiée dans son ensemble, et les réactions officielles restent partielles.

En attendant des précisions, le plus prudent est de considérer tout SMS qui mentionne votre enfant et un paiement comme suspect jusqu’à preuve du contraire. Votre espace personnel officiel reste le seul endroit où vérifier une demande.

A lire aussi

Gifi en cessation de paiements : vos bons d’achat et vos commandes en cours, ce que la procédure change pour vousPension de réversion : 334,92 € minimum, 25 001 € maximum, les chiffres 2026 que personne ne vous explique500 000 foyers pourraient devenir imposables si le budget 2027 échoue, et vous êtes peut-être du nombreRetraite complémentaire : les 3 dates de virement d’ici décembre, et pourquoi celui du 2 novembre sera différentVous prêtez de l’argent à un proche ? Au-delà de 1 500 € sans écrit, vous risquez de ne pas pouvoir prouver le prêtRéversion : taux unique, 55 ans, pacsés inclus, la réforme qui pourrait faire perdre des centaines d’euros aux veuves du privé