Caisses d'allocations familiales (CAF): Sicherheitsvorfall
Hacker bietet Daten von 1,2 Mio. Familienakten zum Verkauf an.

Beim französischen Familienleistungsträger CAF führte ein Cyberangriff auf den Urlaubshilfedienst VACAF zu einem Datenabfluss, der am Abend des 9. Oktober 2026 gemeldet wurde. Der genaue Angriffszeitpunkt ist unbekannt. FrenchBreaches vermutet kompromittierte Benutzerkonten ohne Zwei-Faktor-Authentifizierung als Zugangsweg; offiziell bestätigt ist dies nicht.

Am 9. Oktober 2026 bot ein unbekannter Täter die Daten in einem Untergrundforum zum Verkauf an. Er behauptet, 1.191.967 Leistungsakten aus 58 CAF-Kassen, 97.269 Pass-Colo-Datensätze und 101.322 Einträge zu Kinderferienaufenthalten erbeutet zu haben. Die Bestände können sich überschneiden; die Zahl betroffener Personen steht nicht fest. Laut FrenchBreaches betreffen die Dateien ausschließlich Leistungsempfänger des Jahres 2026. Die CNAF bestätigte den Datenabfluss, nicht jedoch den behaupteten Umfang.

FrenchBreaches prüfte 1.500 Beispieleinträge. Diese enthalten personenbezogene Daten wie Namen von Eltern und Kindern, Geburtsdaten Minderjähriger, CAF-Aktennummern, Wohnregionen, Haushaltszusammensetzung, Berechnungswerte für Leistungen, Förderbeträge sowie Orte, Termine und Kosten gebuchter Aufenthalte. Bankdaten und Zugangspasswörter sind laut ersten Analysen der CNAF nicht betroffen.

Die Behörde sperrte vacaf.org nach der Meldung vorsorglich; am 12. Oktober 2026 war die Plattform weiterhin unzugänglich. Leistungszahlungen blieben unbeeinträchtigt. Die CNAF aktivierte einen Krisenstab, informierte ANSSI und CNIL und kündigte Strafanzeige sowie individuelle Benachrichtigungen nach Klärung des Umfangs an. Die detaillierten Familieninformationen könnten gezielte Phishingversuche erleichtern.