Fuite de données Substack de 2025

Les types de données répertoriés dans cette fiche correspondent aux champs Adresses e-mail et Numéros de téléphone. Les champs relatifs aux mots de passe, aux cartes de paiement ou au contenu des messages privés ne sont pas répertoriés. Néanmoins, sur les plateformes de publication comme Substack, une adresse e-mail associée à l’identité d’un auteur ou d’un lecteur, au nom d’une publication, à un centre d’intérêt et aux communications relatives à un abonnement constitue une ressource précieuse pour des attaques ciblées d’ingénierie sociale.

Les utilisateurs de Substack peuvent recevoir de nombreux messages : newsletters, notifications relatives aux abonnements, mises à jour des publications, paiements, commentaires, suivis de profils et communications des auteurs. Ce flux habituel peut donner une apparence légitime à de fausses invitations d’éditeurs ou à des messages concernant le renouvellement d’un abonnement, un problème de paiement, le retrait d’un contenu ou la vérification d’un compte. Pour effectuer une action, les utilisateurs doivent passer par leur espace de compte habituel plutôt que cliquer sur le lien du message.

Les utilisateurs dont les enregistrements contiennent un numéro de téléphone sont également exposés à des risques par SMS et par appel. Ils peuvent recevoir de faux messages de renouvellement d’abonnement, d’erreur de paiement, de code de vérification ou d’alerte de sécurité concernant une diffusion. L’utilisation conjointe du numéro de téléphone, de l’adresse e-mail et de l’identifiant de diffusion peut permettre de créer des communications qui semblent plus personnelles à l’utilisateur. Aucun code de vérification ne doit être communiqué par téléphone ou par message.

Pour les auteurs, les risques diffèrent quelque peu de ceux auxquels sont exposés les lecteurs. Un éditeur peut recevoir une fausse notification relative aux droits d’auteur, un faux avis de suspension de compte, une fausse mise à jour d’un prestataire de paiement ou une fausse proposition de partenariat publicitaire. Ces messages peuvent devenir convaincants lorsqu’ils sont personnalisés avec le nom de la publication et les informations de profil accessibles au public. Les paramètres de paiement et la redirection du nom de domaine doivent notamment faire l’objet d’une protection attentive.

Pour les lecteurs, le risque réside dans l’utilisation de leurs centres d’intérêt et du contexte de leurs abonnements dans les messages. Un utilisateur peut être ciblé en fonction d’une publication ou d’un sujet précis. Le risque est plus important lorsque les habitudes de lecture portent sur des sujets sensibles, comme la politique, la santé, la finance ou le développement personnel. Même si seules les adresses e-mail et les numéros de téléphone sont répertoriés comme catégories de données, le contexte de la plateforme peut accroître les conséquences pour la vie privée.

Pour les institutions et les éditeurs indépendants, le cas Substack met en lumière les enjeux de sécurité des communications relatives aux abonnements et des données de profil. Les éditeurs doivent indiquer clairement à leurs lecteurs les canaux utilisés pour les paiements, les abonnements et la vérification des comptes. De leur côté, les utilisateurs doivent activer l’authentification multifacteur sur leurs comptes, configurer une adresse e-mail de récupération et consulter l’historique de leurs sessions.

Les utilisateurs concernés doivent examiner attentivement les messages provenant de Substack qui portent sur un abonnement, un paiement, une invitation à publier, le retrait d’un contenu, les droits d’auteur, la vérification d’un compte ou une collaboration avec un auteur. Même si le champ du mot de passe n’est pas répertorié, les adresses e-mail et les numéros de téléphone suffisent à élaborer des communications ciblées. Si une action est nécessaire, il faut utiliser l’adresse de connexion habituelle, et non le lien contenu dans le message.

Le contexte de publication associé à un enregistrement Substack peut indiquer les sujets qui intéressent les utilisateurs ou les créateurs de contenu avec lesquels ils interagissent. Même si cette relation n’est pas directement répertoriée comme une catégorie de données, elle peut être déduite de l’adresse e-mail et du contexte du profil. Les utilisateurs qui suivent des publications sur des sujets tels que la politique, la finance, la santé ou le développement personnel peuvent recevoir des messages plus ciblés.

Pour les éditeurs, les paramètres de paiement, le domaine personnalisé et la gestion des abonnés sont des éléments critiques. Un faux message Substack peut cibler les revenus de l’éditeur, sa liste de lecteurs ou l’accès à son compte. Les lecteurs, quant à eux, peuvent être dirigés vers de fausses pages de paiement sous prétexte de renouveler un abonnement ou d’accéder à un contenu exclusif. Dans les deux cas, l’opération doit être effectuée depuis l’espace de compte habituel plutôt qu’en suivant le lien du message.

Pour les utilisateurs dont les données ne contiennent pas de numéro de téléphone, le risque concerne davantage le rapprochement entre l’adresse e-mail et le profil. Pour ceux dont les données en contiennent un, les SMS et les appels s’ajoutent aux canaux possibles. Cette distinction est importante. Les utilisateurs ne doivent pas communiquer leur code de vérification, quel que soit le canal par lequel ils sont contactés, et doivent vérifier les demandes de paiement par un autre canal.