Fransa'da aile yardımı kurumlarının (CAF) tatil yardımı sistemi VACAF'ta yararlanıcı verilerini etkileyen bir sızıntı yaşandığını Fransa Ulusal Aile Yardımları Kurumu Cnaf doğruladı; vacaf.org kapatıldı. VACAF, CAF'ların ihtiyaç sahibi ailelerin tatiline ve çocukların tatil kamplarına mali destek sağlayan tatil yardımı sistemi olarak işliyor. Platform, dış bir hizmet sağlayıcıda barındırılıyor ve CAF ağı adına Hérault bölgesinin aile yardımı kurumu (Caf de l'Hérault) tarafından yönetiliyor. Cnaf'ın 10 Ekim 2026'da yaptığı açıklamaya göre, 9 Ekim 2026 akşamı yararlanıcı verilerine ilişkin bir sızıntı bildirildi ve vacaf.org platformuna erişim ihtiyaten askıya alındı. Cnaf'a göre ilk incelemeler, yararlanıcıların banka bilgilerinin ve CAF çevrimiçi hizmetlerinin giriş parolalarının etkilenen veriler arasında olmadığını gösteriyor.
Fransız veri sızıntısı haber sitesi FrenchBreaches'e göre bir siber suçlu, VACAF'a ait olduğunu öne sürdüğü dosyaları satışa çıkardı ve 1.191.967 dosya bulunduğunu iddia etti. Cnaf saldırganın yaklaşık 1,2 milyon dosya iddiasını doğrulamadı. FrenchBreaches, öne sürülen bu rakamların dosya ve kayıt sayısı olduğunu, aynı ailenin ya da çocuğun birden fazla kayıtta yer alabileceğini, bu nedenle verilerin kişi sayısı anlamına gelmediğini aktardı.
Cnaf'ın aldığı önlemler
Cnaf, olayın ardından bir kriz birimi oluşturulduğunu, Cnaf, VACAF ve Caf de l'Hérault ekiplerinin olayın koşullarını ve kapsamını belirlemek için çalıştığını açıkladı. Kısa süre içinde adli makamlara şikâyette bulunulacağını bildiren Cnaf; Fransa'nın siber güvenlik ajansı ANSSI ve Fransa'nın kişisel veri koruma kurumu CNIL'in bilgilendirildiğini duyurdu. Cnaf'a göre VACAF platformu, yardımların yönetildiği ve ödendiği ana bilgi sisteminden tamamen ayrı tutulduğu için olayın ödemelere etkisi bulunmuyor; yardımlar normal biçimde ödenmeyi sürdürüyor. VACAF üzerinden önceden tamamlanmış tatil rezervasyonları geçerliliğini korurken, vacaf.org üzerinden yeni rezervasyonlar durduruldu. Cnaf, incelemeler tamamlandığında etkilenen kişilerin tek tek bilgilendirileceğini duyurdu ve bu süreçte yaşanabilecek dolandırıcılık girişimlerine karşı dikkatli olunması çağrısı yaptı. Fransa'da vergi idaresi de daha önce bir veri ihlalini doğrulamıştı.
Etkilenmiş olabilecek veriler ve iddialar
La Voix du Nord gazetesinin 11 Ekim 2026'da aktardığı bilgilere göre, Fransa'nın çalışma, sağlık ve spor bakanlıkları ortak bir açıklama yaptı. Bakanlıkların açıklamasına göre etkilenmiş olabilecek veriler arasında yararlanıcıların ve çocuklarının adları, aile katsayıları ile rezervasyon ve konaklama bilgileri bulunuyor. Aile katsayısı, CAF'ın yardım tutarını hesaplamak için kullandığı, hanenin gelirini ve büyüklüğünü gösteren ölçüt.
Saldırganın iddialarına göre satışa çıkarılan verilerde 58 CAF'a dağılmış 1.191.967 tatil yardımı dosyası, kamp yardımı Pass Colo sistemine ait 97.269 kayıt ve çocuk kamplarına ilişkin 101.322 satır yer alıyor. Saldırgan bu kayıtların tümünün 2026 yararlanıcılarına ait olduğunu öne sürüyor. Dosyalardan her biri 500 kayıtlık üç örneği inceleyen FrenchBreaches; örneklerde ebeveyn ve çocuk adları, doğum tarihleri, dosya numaraları, yardım miktarları ve tatil yerlerinin görüldüğünü ancak bu örneklerin iddia edilen toplam hacmi doğrulamaya yetmediğini yazdı. FrenchBreaches'in edindiği bilgiye göre, iki aşamalı doğrulama yani şifreye ek ikinci bir güvenlik adımı kullanılmayan bazı kullanıcı hesapları ele geçirilmiş olabilir; ancak bu senaryo resmi makamlarca doğrulanmadı.
Frandroid'in aktardığına göre Aralık 2025'te de CAF kurumuna atfedilen büyük bir dosya forumlarda yayımlanmış, Cnaf o dönemde kendi sistemlerine sızıldığını reddederek verilerin başka kamu kurumlarından geldiğini bildirmişti.
Neler bilinmiyor
Sızıntının teknik olarak nasıl gerçekleştiği henüz bilinmiyor. Kaç kişinin olaydan etkilendiği bilinmiyor; saldırganın öne sürdüğü dosya sayıları resmi makamlarca doğrulanmadı. Cnaf tarafından planlanan resmi şikâyetin adli mercilere yapılıp yapılmadığı henüz duyurulmadı. vacaf.org platformunun ne zaman yeniden erişime açılacağı da belli değil.
Cnaf olayla ilgili yeni resmi açıklamalar yaptıkça haber güncellenecek.
Kaynaklar
- Cnaf — Incident de cybersécurité concernant le service Vacaf
- FrenchBreaches — CAF : les données de près de 1,2 million de dossiers d'aides aux vacances proposées à la vente
- TF1 Info — Allocations familiales : Vacaf, le dispositif d'aide aux vacances, victime d'une fuite de données
- Ouest-France — Un site d'aide aux vacances de la Caf victime d'une cyberattaque
- Le Journal de Saône-et-Loire — Le dispositif d'aide aux vacances de la Caf victime d'une fuite de données
- Frandroid — Fuite de données chez la CAF
- La Voix du Nord — Incident de cybersécurité : le dispositif Vacaf d'aide aux vacances des Caf victime d'une fuite de données
Kapak görseli (temsili): Guadeloupe aile yardımı kurumu (Caf de la Guadeloupe) binası. Fotoğraf: Enrevseluj / Wikimedia Commons, CC BY-SA 4.0; 1200×675 için kırpıldı.
