خرق بيانات Substack لعام 2025

أنواع البيانات المدرجة في هذا السجل هي حقلا عناوين البريد الإلكتروني وأرقام الهواتف. ولا تُدرج فيه حقول كلمات المرور أو بطاقات الدفع أو محتوى الرسائل الخاصة. ومع ذلك، على منصات النشر مثل Substack، يصبح عنوان البريد الإلكتروني ذا قيمة في محاولات الهندسة الاجتماعية الموجّهة عندما يُربط بهوية الكاتب أو القارئ، واسم النشرة، والاهتمامات، والمراسلات المتعلقة بالاشتراك.

قد يتلقى مستخدمو Substack رسائل كثيرة تتعلق بالنشرات الإخبارية والاشتراكات وتحديثات النشرات والمدفوعات والتعليقات والمتابعات ومراسلات الكتّاب. وقد يجعل هذا التدفق المعتاد للرسائل دعوات الناشرين المزيفة، أو رسائل تجديد الاشتراك، أو مشكلات الدفع، أو إزالة المحتوى، أو التحقق من الحساب تبدو مشروعة. ينبغي للمستخدمين تنفيذ أي إجراء من لوحة الحساب المعروفة بدلًا من النقر على الرابط الوارد في الرسالة.

توجد أيضًا مخاطر تتعلق بالرسائل النصية القصيرة SMS والمكالمات بالنسبة إلى مجموعة السجلات التي تتضمن أرقام هواتف. فقد تُرسل رسائل مزيفة عن تجديد الاشتراك أو خطأ في الدفع أو رمز تحقق أو تحذير بشأن أمان البث. وعند استخدام رقم الهاتف والبريد الإلكتروني ومعرّف البث معًا، يمكن إنشاء مراسلات تبدو أكثر تخصيصًا للمستخدم. ويجب عدم مشاركة أي رمز تحقق عبر الهاتف أو الرسائل.

تختلف المخاطر من وجهة نظر الكتّاب بعض الشيء عنها لدى القرّاء. فقد يتلقى الناشر إشعارًا مزيفًا بشأن حقوق النشر، أو تعليق الحساب، أو تحديث لدى مزوّد خدمات الدفع، أو عرض تعاون إعلاني. وقد تصبح هذه الرسائل مقنعة عندما تُخصّص باستخدام اسم النشرة ومعلومات الملف الشخصي المتاحة للعامة. وينبغي، على وجه الخصوص، حماية إعدادات الدفع وإعادة توجيه اسم النطاق بعناية.

أما بالنسبة إلى القرّاء، فتتمثل المخاطر في استخدام اهتماماتهم وسياق اشتراكاتهم في الرسائل. وقد يُستهدف المستخدم برسائل تتمحور حول نشرة أو موضوع محدد. ويزداد أثر ذلك عندما تتعلق عادات القراءة بموضوعات حساسة مثل السياسة أو الصحة أو المال أو تطوير الذات. وحتى إذا اقتصر تصنيف البيانات على البريد الإلكتروني ورقم الهاتف، فقد يزيد سياق المنصة من الأثر على الخصوصية.

تسلط حادثة Substack الضوء، بالنسبة إلى المؤسسات والناشرين المستقلين، على أمن مراسلات الاشتراك وبيانات الملفات الشخصية. ينبغي للناشرين أن يوضحوا لقرّائهم القناة التي ستُجرى من خلالها عمليات الدفع والاشتراك والتحقق من الحساب. أما المستخدمون، فينبغي لهم تفعيل المصادقة متعددة العوامل على حساباتهم، وإعداد بريد إلكتروني لاسترداد الحساب، ومراجعة سجل جلساتهم.

ينبغي للمستخدمين المتأثرين تقييم الرسائل الواردة من Substack بعناية، سواء تعلقت بالاشتراك أو الدفع أو دعوات النشر أو إزالة المحتوى أو حقوق النشر أو التحقق من الحساب أو التعاون مع الكتّاب. وحتى إن لم يكن حقل كلمة المرور مدرجًا، فإن معلومات البريد الإلكتروني والهاتف تكفي لإجراء مراسلات موجّهة. وإذا كان يلزم تنفيذ إجراء، فينبغي استخدام عنوان تسجيل الدخول المعروف، لا الرابط الوارد في الرسالة.

قد يكشف سياق النشر في سجل Substack عن الموضوعات التي تهم المستخدمين أو صنّاع المحتوى الذين يتفاعلون معهم. وحتى إذا لم تُدرج هذه العلاقة مباشرةً ضمن فئات البيانات، فقد يكون من الممكن استنتاجها من البريد الإلكتروني وسياق الملف الشخصي. وقد يواجه المستخدمون الذين يتابعون نشرات حول موضوعات مثل السياسة أو المال أو الصحة أو تطوير الذات رسائل أكثر استهدافًا.

تُعد إعدادات الدفع والنطاق المخصص وإدارة المشتركين جوانب بالغة الأهمية للناشرين. وقد تستهدف رسالة مزيفة باسم Substack مصدر دخل الناشر أو قائمة قرّائه أو إمكانية الوصول إلى حسابه. أما القرّاء، فقد يُوجَّهون إلى صفحات دفع مزيفة بذريعة تجديد الاشتراك أو الوصول إلى محتوى حصري. وبالنسبة إلى المجموعتين، ينبغي إجراء المعاملة من لوحة الحساب المعروفة بدلًا من استخدام الرابط الوارد في الرسالة.

بالنسبة إلى المستخدمين الذين لا تتضمن بياناتهم رقم هاتف، تتركز المخاطر بدرجة أكبر على الربط بين البريد الإلكتروني والملف الشخصي؛ أما من تتضمن بياناتهم رقم هاتف، فتُضاف إلى ذلك قنوات الرسائل النصية القصيرة SMS والمكالمات. وهذا تمييز مهم. ينبغي للمستخدمين عدم مشاركة رمز التحقق، أيًا كانت القناة التي يجري التواصل معهم عبرها، والتحقق من طلبات الدفع عبر قناة منفصلة.