---

 

Phishing Caf : une menace toujours d’actualité

La Caisse d’allocations familiales met en garde ses allocataires contre le phishing, ou hameçonnage. Par mail, SMS, faux site internet ou appel téléphonique, les fraudeurs utilisent le nom et l’identité visuelle de la Caf. Explications.

 

Qu’est-ce que le phishing ?

Le phishing, également appelé hameçonnage, est une technique de cybercriminalité assez ancienne, qui reste très utilisée.

Cette attaque se fait en 4 étapes :

1. Vous recevez un message de la part de la Caf (ou en tout cas, c’est de cette manière que se présente l’attaquant). Le logo et les couleurs habituelles sont généralement bien présents. Tout semble porter à croire qu’il s’agit bien de l’organisme.
2. Le contenu du message est souvent alarmant (régularisation urgente de votre dossier, sanction, trop-perçu…) ou au contraire opportun (remboursement ou versement dû, mise à jour de vos informations…). Pour en savoir plus, vous n’avez qu’une solution : cliquer sur le lien indiqué.
3. Vous arrivez sur un site qui ressemble quasiment à l’identique à celui de la Caf. Vous entrez vos identifiants de connexion. L’attaquant peut même vous demander vos informations bancaires (numéro de carte bancaire, RIB) ou personnelles (copie de votre pièce d’identité, extrait de naissance).
4. Toutes ces données hautement sensibles sont alors récupérées par le cybercriminel et utilisées à mauvais escient.

Autrefois, ces arnaques étaient facilement identifiables. Mais aujourd’hui, le phishing Caf est bien plus élaboré et il n’est pas rare de se faire piéger, même pour les internautes les plus avertis. En outre, les conséquences de l’hameçonnage ne sont pas toujours immédiates : vous pouvez avoir de mauvaises surprises plusieurs mois après.

 

Comment sont utilisées les informations volées par les cybercriminels ?

Généralement, les données dérobées sont revendues sur le marché noir (ou dark web) à d’autres cybercriminels. Ceux-ci s’appuient ensuite dessus pour vous attaquer sous différentes formes :

• Usurpation d’identité
• Détournement de votre compte Caf et de vos aides
• Piratage bancaire
• Escroquerie (demande de prêt à la consommation en votre nom par exemple)…

Il est donc crucial de se protéger contre ces attaques et de savoir distinguer un vrai message de la Caf d’un faux !

 

Arnaque Caf : comment repérer les faux messages ?

Pour reconnaître un faux message Caf, voici 6 réflexes à mettre en place dès que vous avez le moindre doute :

• Vérifier l’adresse de l’expéditeur : elle est souvent différente de ce dont vous avez l’habitude. Le nom de domaine (la partie qui vient après le @) doit correspondre à celui de la Caf, c’est-à-dire caf.fr. Exemple : une adresse telle que [email protected] n’appartient pas à la Caf, même si le mot « caf » y figure. Le mot « caf » placé avant l’arobase ne prouve rien.
• Chasser les fautes d’orthographe, les formulations étranges et l’urgence : lisez soigneusement le message. Même si les cybercriminels font de plus en plus attention, il arrive que des fautes leur échappent, ou qu’ils emploient des formules que la Caf n’utilise pas, comme « Cher client ». Méfiez-vous aussi des messages qui vous pressent d’agir ou vous menacent d’une sanction.
• Observer le lien affiché : tout phishing inclut un lien qui vous emmène vers le site clone du fraudeur. Avant de cliquer, positionnez le curseur de votre souris dessus (sans cliquer !). L’adresse vers laquelle il pointe s’affiche en bas de votre écran. Seuls les liens commençant par www.caf.fr renvoient vers le site officiel des Caf.
• Contrôler l’adresse du site : si vous avez déjà cliqué, vérifiez scrupuleusement l’adresse inscrite dans le navigateur. Parfois, un seul caractère change ou un mot est ajouté. Exemple : lacaf.fr ou www.caff.fr. Un doute ? Ne complétez aucune information et fermez immédiatement la page. La présence d’un cadenas ne suffit pas à prouver que le site est authentique.
• Saisir manuellement l’adresse de la Caf : pour être sûr de consulter le vrai site, tapez vous-même https://www.caf.fr dans la barre de votre navigateur. Connectez-vous à votre espace personnel (voir comment se connecter à Caf Mon Compte) : vous y trouverez vos paiements et vos droits, ainsi que les messages que la Caf vous a réellement envoyés.
• Utiliser un mot de passe complexe et différent pour chaque site ou application : mélangez majuscules, minuscules, chiffres et caractères spéciaux, ou servez-vous d’un gestionnaire de mots de passe. Évitez les mots de passe trop simples (surnom, date de naissance, mot commun) et ne les enregistrez pas dans votre navigateur. Au moindre doute, changez immédiatement votre mot de passe.

N’hésitez pas à appliquer ces réflexes dès que vous recevez un message suspect, y compris ceux qui viendraient de votre banque, de l’Assurance maladie ou des impôts.

 

Faux message Caf : que faire ?

Un message suspect attire votre attention ? Voici la marche à suivre !

 

Vous avez reçu un faux message Caf

Gardez en tête ces 6 réflexes :

1. Ne répondez pas au message suspect et n’appelez pas le numéro de téléphone indiqué.
2. Ne cliquez sur aucun lien et n’ouvrez pas les éventuelles pièces jointes.
3. En cas de doute, contactez votre Caf (3230) ou vérifiez dans votre espace personnel si elle vous a réellement écrit.
4. Signalez le message : les mails sur Signal Spam, les SMS et les appels au 33700 (service gratuit), et l’adresse du site frauduleux sur Phishing Initiative, qui demande son blocage. Vous pouvez aussi utiliser la plateforme Pharos (internet-signalement.gouv.fr) du ministère de l’Intérieur. Vous éviterez ainsi que d’autres allocataires ne tombent dans le piège.
5. Supprimez le message de votre messagerie, après avoir conservé une capture d’écran si vous souhaitez le signaler.
6. Mettez régulièrement à jour l’antivirus et les systèmes de sécurité de votre ordinateur et de votre téléphone portable.

 

Vous avez répondu à un faux message Caf

Si vous êtes victime d’une arnaque Caf, voici ce que vous devez faire :

• Vous avez donné vos identifiants de connexion Caf : signalez l’incident au plus vite à votre Caf par téléphone et changez votre mot de passe. L’organisme vous fera parvenir un nouveau code confidentiel si nécessaire.
• Vous avez envoyé une copie de votre carte d’identité : rendez-vous rapidement à la gendarmerie ou au commissariat le plus proche de chez vous pour déposer plainte.
• Vous avez téléchargé une pièce jointe suspecte : réalisez une analyse de votre système sans tarder. Si besoin, votre antivirus mettra en quarantaine le fichier contaminé ou le supprimera.
• Vous avez partagé vos coordonnées bancaires : contactez immédiatement votre banque pour faire opposition à toute transaction malveillante (ou le service interbancaire d’opposition au 0 892 705 705, numéro surtaxé), puis demandez le remboursement des opérations non autorisées. Certaines banques exigent la preuve d’un dépôt de plainte.

Pour déposer plainte, vous pouvez vous rendre au commissariat ou à la gendarmerie, ou écrire au procureur de la République du tribunal judiciaire dont vous dépendez, en fournissant toutes les preuves en votre possession. Vous pouvez être accompagné gratuitement par une association de France Victimes au 116 006, et être conseillé par Info Escroqueries au 0 805 805 817 (appels gratuits). En cas de débits frauduleux sur votre carte, signalez-les aussi sur la plateforme Perceval.

N’hésitez pas à consulter également notre article sur les mails et appels frauduleux de la CPAM.

 

Questions fréquentes sur le phishing Caf

Voici les réponses aux questions les plus posées sur les faux messages Caf.

 

Comment reconnaître un faux message Caf ?

Méfiez-vous des messages inattendus, urgents ou menaçants, des fautes d’orthographe, d’un expéditeur dont l’adresse n’est pas en caf.fr et des liens qui ne commencent pas par www.caf.fr. En cas de doute, ne cliquez pas : tapez caf.fr vous-même et consultez votre espace personnel.

Comment signaler un mail ou un SMS frauduleux de la Caf ?

Signalez les mails à Signal Spam et les SMS ou appels au 33700, un service gratuit. Vous pouvez aussi signaler l’adresse du site frauduleux à Phishing Initiative et avertir votre Caf. Conservez le message reçu comme preuve, notamment si vous devez déposer plainte.

Que faire si j’ai répondu à un faux message Caf ?

Cela dépend des informations transmises. Si vous avez donné vos identifiants, prévenez la Caf. Si vous avez communiqué vos coordonnées bancaires, faites opposition auprès de votre banque. Si vous avez envoyé une pièce d’identité, déposez plainte au commissariat ou à la gendarmerie.

Quel est le site officiel et le numéro de téléphone de la Caf ?

Seuls les liens commençant par www.caf.fr mènent au site officiel des Caf. Le 3230 est le seul numéro de téléphone permettant de joindre la Caf. Un lien différent ou un autre numéro dans un mail, un SMS ou un message vocal doit vous alerter.

La Caf peut-elle me demander mon mot de passe ou mon RIB par mail ?

Non. La Caf ne demande jamais votre mot de passe par téléphone, SMS ou courriel, ni vos coordonnées bancaires par téléphone ou par mail. Elle connaît déjà votre numéro d’allocataire. Pour modifier votre RIB, vous devez passer par votre espace personnel ou envoyer un courrier.

Puis-je être remboursé si des sommes ont été débitées après un phishing Caf ?

Contactez immédiatement votre banque, faites opposition et contestez rapidement les opérations non autorisées. Certaines banques demandent la preuve d’un dépôt de plainte pour instruire votre demande de remboursement. Signalez aussi les débits frauduleux de carte bancaire sur la plateforme Perceval.

---

Crédit photo : © StockUnlimited

---

Autres articles intéressants

Perte de salaire en cas de grève : calcul et impact CAF

Salaire éducateur spécialisé 2026 : net, brut, grilles

Retraite moyenne en France 2026 | aide-sociale.fr

Licenciement arrêt maladie : ce qui est interdit et ce qui est autorisé

Salaire ATSEM 2026 : net, brut et grilles indiciaires

Combien de temps un huissier peut réclamer une dette ?