Beveiliging · 13 oktober 2026
Dossiers van 1,2 miljoen uitkeringsgerechtigden mogelijk gestolen bij vakantiedienst
Een onbekende dader heeft naar verluidt op vrijdag negen oktober 2026 bestanden te koop aangeboden op een forum voor cybercriminaliteit die informatie bevatten over ongeveer 1,2 miljoen gebruikers van de Franse gezinsbijslagdienst. Deze gegevens zouden afkomstig zijn van VACAF, de specifieke afdeling die verantwoordelijk is voor het beheer van financiële steun voor vakanties van kinderen en gezinnen. De ontdekking van deze mogelijke inbreuk werd gedaan door een gespecialiseerde website die de authenticiteit van enkele gegevensfragmenten heeft kunnen verifiëren, hoewel de officiële instanties zelf nog geen bevestiging hebben gegeven van het incident.
De persoon die de data claimt te bezitten, stelt dat hij of zij in totaal 1.191.967 individuele dossiers van uitkeringsgerechtigden heeft verkregen, welke verdeeld zijn over 58 lokale kantoren van de organisatie. Dit aantal komt neer op ongeveer één op de twaalf van alle geregistreerde gebruikers, gezien het totale netwerk bestaat uit 101 kantoren die doorgaans per departement zijn georganiseerd. Naast de hoofddossiers bevat de gestolen verzameling ook 97.269 specifieke registraties voor kampeerhulp en 101.322 inschrijvingen van kinderen voor georganiseerde verblijven. Alle betrokken records hebben betrekking op begunstigden uit het jaar 2026, wat aangeeft dat zeer recente informatie is gecompromitteerd.
De inhoud van de gelekte bestanden is uiterst gedetailleerd en omvat de voor- en achternamen van zowel ouders als minderjarige kinderen, evenals de geboortedata van deze kinderen. Verder zijn in de documenten het unieke identificatienummer van de uitkeringsgerechtigde en het lokale kantoor van aansluiting opgenomen. De dader heeft ook toegang verkregen tot het gezinsquotiënt, een berekening van de huishoudelijke inkomsten die de dienst gebruikt om de hoogte van de toeslagen vast te stellen. Aanvullende gegevens in de bestanden zijn het aantal volwassenen en kinderen in het huishouden, de exacte bedragen van de toegekende hulp, de data en locaties van de geboekte vakanties en de nog verschuldigde sommen.
Ondanks de specifieke aard van de gelekte informatie ontbreken er volgens de analyse van de onderzochte steekproeven directe contactgegevens zoals e-mailadressen, telefoonnummers of postadressen in de openbaar gemaakte fragmenten. De meest recente reserveringen in de bestanden dateren van zeven oktober 2026, slechts twee dagen voor de ontdekking van de verkoopadvertentie. Experts waarschuwen dat criminelen met kennis van de namen van kinderen, de bedragen van de hulp en de vakantiedata zeer geloofwaardige nepberichten kunnen sturen om gezinnen op te lichten door te claimen dat er sprake is van een terugbetaling of een schuld.
Noch de nationale overheidsinstantie, noch het lokale kantoor dat VACAF voor het hele netwerk beheert, heeft het hacken van hun systemen publiekelijk bevestigd. De melding van de inbreuk suggereert dat de dader toegang heeft verkregen via meerdere gebruikersaccounts die niet waren beveiligd met tweestapsverificatie, een methode waarbij naast het wachtwoord ook een extra code vereist is. Deze zwakke plek in de beveiliging komt overeen met eerdere bevindingen van het nationale agentschap voor informatiesystemen, dat onlangs nog wees op het ontbreken van dergelijke bescherming bij diverse overheidsdiensten. Het is op dit moment voor families onmogelijk om zelfstandig te controleren of hun specifieke dossier deel uitmaakt van de gestolen verzameling.