No es la primera vez que ocurre algo así en la Caja Nacional de Prestaciones Familiares (Cnaf). En febrero de 2024, el organismo ya había confirmado accesos ilegítimos a varios miles de cuentas de beneficiarios. Esta vez, el servicio Vacaf, dedicado a las ayudas para vacaciones, se ha visto afectado por una filtración de datos comunicada el 10 de octubre de 2026, después de recibir una alerta el día anterior. La plataforma permite a las familias que cumplen los requisitos recibir apoyo financiero para sus vacaciones o para las estancias de sus hijos. Gestionada por la Caf de Hérault en nombre de la red nacional y alojada por un proveedor externo, conecta a los beneficiarios con los gestores de centros vacacionales.
Ante el incidente, la Cnaf suspendió por precaución el acceso al sitio vacaf.org y activó una célula de crisis para evaluar el alcance de la filtración y limitar sus consecuencias.
Los datos bancarios y las contraseñas no se han visto afectados
Según la información preliminar comunicada por la Cnaf, los datos bancarios de los beneficiarios y las contraseñas utilizadas para acceder a los servicios en línea de las Caf no figuran entre los datos afectados por la filtración. El organismo también precisa que el incidente no tiene consecuencias sobre el pago de las prestaciones sociales. Sin embargo, no se ha comunicado el número exacto de personas afectadas. El medio especializado FrenchBreaches menciona una reivindicación que hace referencia a aproximadamente 1,2 millones de expedientes de beneficiarios. La Cnaf no ha confirmado esta cifra, por lo que debe considerarse con cautela.
El organismo indica que informará individualmente a las personas afectadas una vez que se haya determinado el alcance del incidente. También les facilitará recomendaciones para reducir los riesgos de phishing, fraude o suplantación de identidad.
Se anuncia una denuncia
La Cnaf ha anunciado su intención de presentar una denuncia tras este incidente. Las investigaciones deberán permitir determinar, en particular, las circunstancias de la filtración, los datos que quedaron efectivamente expuestos y el número de beneficiarios afectados.
La plataforma Vacaf, alojada por un proveedor externo y gestionada por la Caf de Hérault en nombre de la red nacional, conecta a las familias beneficiarias con los gestores de centros vacacionales. Por tanto, constituye un servicio dedicado a la gestión de las ayudas para vacaciones, distinto de los servicios habituales de pago de prestaciones.
Estos incidentes se producen mientras continúa aplazándose la transposición de la directiva europea NIS 2 al derecho francés. El examen del proyecto de ley sobre resiliencia digital, destinado a transponer esta directiva y previsto inicialmente en el orden del día de la Asamblea Nacional a partir del 7 de octubre de 2026, fue finalmente retirado del calendario parlamentario debido a la «saturación del calendario parlamentario».
Roberto Méndez
Corresponsal Económico y Tecnología
Especialista en economía política europea, soberanía tecnológica industrial y análisis de fondos soberanos en la zona euro. Colaborador habitual en medios internacionales.
