Effacez vos données chez la CAF —
13,5 millions de foyers exposés, 22 millions de lignes dans la nature.
Demandez l'effacement maintenant. Il vous faut deux minutes, votre nom et votre email.
Tous les chiffres affichés ci-dessus (13,5 millions de foyers, 22 millions de lignes, revendication ShinyHunters de Noël 2025) sont confirmés par ces 5 sources et reconnus par la CNAF dans son communiqué officiel.
CAF : 13,5 millions de foyers exposés, et un « cadeau de Noël » de ShinyHunters qui vise les plus fragiles.
Fin décembre 2025, le groupe cybercriminel ShinyHunters / Hollow a revendiqué publiquement, sur un forum spécialisé, l'exfiltration d'une base interne de la CAF couvrant environ 13,5 millions de foyers allocataires (soit 22,4 millions de lignes nominatives). La mise en scène — un « cadeau de Noël » offert aux familles précaires — vise délibérément les bénéficiaires de minima sociaux : RSA, prime activité, APL, AAH. Si vous êtes ou avez été allocataire, vous pouvez exiger la suppression de vos données identifiantes au titre de l'article 17 du RGPD et l'arrêt immédiat de tout profilage non nécessaire au titre de l'article 21. Sheeldy envoie cette demande à votre place, gratuitement, au DPO officiel de la CNAF.
Ce qu'on sait de la fuite CAF de décembre 2025
Le calendrier est documenté précisément. À partir du 20 décembre 2025, des échantillons d'une base interne de la CAF apparaissent sur un forum cybercriminel anglophone, signés ShinyHunters / Hollow. Le 22 décembre, la diffusion s'élargit : un fichier de 22,4 millions de lignes, correspondant à environ 13,5 millions de foyers allocataires, est mis en téléchargement payant. Le 23 décembre, la CNAF confirme l'incident à la presse, sans contester les chiffres avancés par les attaquants. Le vecteur initial n'a pas été communiqué publiquement à ce jour.
La singularité de cette opération n'est pas technique mais narrative. Les attaquants ont mis en scène la fuite comme un « cadeau de Noël » destiné aux familles précaires, avec un message moqueur publié au moment des fêtes. Ce framing n'est pas anodin : ShinyHunters cherche systématiquement à maximiser la couverture médiatique de ses opérations pour augmenter la valeur de revente, et c'est précisément ce moment de l'année — anxiété de fin de mois, dépendance aux prestations sociales — qui rend les allocataires les plus exposés aux escroqueries qui vont suivre.
Pourquoi cette fuite cible les plus fragiles : les allocataires CAF figurent parmi les publics les plus vulnérables au phishing personnalisé. Une partie d'entre eux est peu équipée en outils de défense numérique, dépend mensuellement des versements pour le loyer ou l'alimentation, et accordera donc spontanément crédit à un email ou SMS imitant la CAF s'il évoque un « complément à percevoir », un « trop-perçu à régulariser » ou une « pièce justificative à transmettre ». La quasi-totalité des données identifiantes nécessaires pour rendre ces messages crédibles (nom, prénom, adresse postale, téléphone, statut allocataire) est désormais dans la nature.
Quelles données ont fuité ?
La CNAF a communiqué la liste précise des champs exposés. Bonne nouvelle : aucun RIB, aucun mot de passe, aucun numéro de sécurité sociale (NIR). Mais les éléments identifiants nécessaires à du phishing très réaliste sont, eux, complets — y compris pour les bénéficiaires associés au dossier (enfants à charge, ascendants).
— Exposées
— Préservées
Ce que Sheeldy demande, et ce que la CAF doit obligatoirement faire
La CAF est un organisme public chargé d'une mission de service public de prestation sociale. Cela change le périmètre de ce que vous pouvez obtenir : certaines données doivent être conservées tant que vos droits sont ouverts. Sheeldy envoie donc une demande RGPD cumulative, calibrée pour ce statut public :
- Article 17 du RGPD — droit à l'effacement : la CAF doit supprimer l'intégralité de votre dossier après extinction de tous vos droits (RSA, APL, allocations familiales, etc.). Si vous n'êtes plus allocataire depuis plus de 5 ans, la suppression doit être effective. Si vous êtes encore allocataire actif, la demande s'applique aux données accessoires (préférences marketing, historiques de navigation sur caf.fr, profilage interne) — pas aux données nécessaires au calcul de vos droits.
- Article 21 du RGPD — droit d'opposition : vous pouvez vous opposer à tout traitement non strictement nécessaire à la gestion de vos prestations : campagnes d'information non sollicitées, profilage statistique nominatif, transmission à des partenaires non obligatoires. Ce droit est opposable même à un organisme public dès lors que le traitement n'est pas imposé par la loi.
Ce qui est garanti immédiatement (art. 21) : l'arrêt de toute communication non strictement nécessaire à votre dossier, de tout profilage commercial ou statistique non anonymisé, et de toute transmission à des tiers (banques partenaires, organismes complémentaires) qui n'est pas une obligation légale.
Ce qui est subordonné au service public (art. 17) : la suppression de votre dossier d'allocataire dans son intégralité ne peut intervenir qu'après extinction de tous vos droits et expiration des délais de conservation imposés par le Code de la sécurité sociale (généralement 5 ans après la fin des droits, jusqu'à 10 ans pour les justificatifs comptables). En pratique, Sheeldy obtient l'effacement de tout ce qui n'est pas strictement nécessaire au calcul de vos prestations en cours.
La CAF dispose d'un mois pour répondre formellement (article 12.3 RGPD), prolongeable à trois mois sur motivation. Sans réponse à J+30, vous pouvez saisir la CNIL — qui a déjà ouvert d'office un contrôle sur la CNAF suite à cette fuite.
Remonter au formulaireQuestions fréquentes — Fuite CAF
Mon RSA ou ma prime d'activité peuvent-ils être détournés par un fraudeur ?
Comment savoir si mon foyer figure dans le fichier de 22 millions de lignes ?
La CAF doit-elle me verser une indemnité ?
Mon allocataire CAF mineur ou personne âgée dépendante est-elle aussi concernée ?
Sheeldy envoie-t-il vraiment la demande à la CAF ?
Qui est ShinyHunters / Hollow ?
Responsable de traitement : Sheeldy (sheeldy.com). Finalité : transmettre en votre nom au DPO de la CNAF (CAF) une demande d'effacement et d'opposition (articles 17 et 21 RGPD), rédigée à la première personne. Base légale : votre demande explicite via le formulaire (art. 6.1.a RGPD). Destinataires : DPO de la CNAF (delegue-protection-donnees@cnaf.fr) et, le cas échéant, la CNIL en cas de recours. Durée de conservation : 3 ans pour la trace de la demande. Vos droits sur vos données chez Sheeldy : accès, rectification, effacement, opposition — à exercer auprès de privacy@sheeldy.com. Politique complète : conditions d'utilisation.