Утечка данных Substack в 2025 году

В этой записи перечислены следующие типы данных: адреса электронной почты и номера телефонов. Поля с паролями, данными платёжных карт или содержимым личных сообщений не указаны. Тем не менее на издательских платформах, подобных Substack, адрес электронной почты в сочетании со сведениями об авторе или читателе, названием издания, интересами и перепиской по вопросам подписки становится ценным инструментом для адресной социальной инженерии.

Пользователи Substack могут получать множество сообщений: рассылки, уведомления о подписках, обновлениях изданий, платежах, комментариях и новых подписчиках, а также сообщения от авторов. В этом привычном потоке поддельные приглашения от издателей, сообщения о продлении подписки, проблемах с оплатой, удалении контента или проверке аккаунта могут выглядеть подлинными. Пользователям следует выполнять необходимые действия через привычную панель управления аккаунтом, а не переходить по ссылке в сообщении.

Для пользователей, чьи записи содержат номера телефонов, существуют также риски, связанные с SMS и звонками. Им могут отправлять поддельные сообщения о продлении подписки, ошибке оплаты, коде подтверждения или угрозе безопасности издания. Совместное использование номера телефона, адреса электронной почты и ID издания позволяет сделать обращение к пользователю более персональным. Нельзя передавать коды подтверждения по телефону или в сообщениях.

Риски для авторов несколько отличаются от рисков для читателей. Издателю могут отправить поддельное уведомление о нарушении авторских прав, приостановке действия аккаунта, обновлении со стороны платёжного провайдера или предложение рекламного сотрудничества. Такие сообщения могут выглядеть убедительно, если в них используются название издания и общедоступные сведения профиля. Особого внимания требует защита платёжных настроек и настроек переадресации доменного имени.

Для читателей риск заключается в использовании их интересов и сведений о подписках при составлении сообщений. Пользователю могут адресовать сообщения, связанные с конкретным изданием или темой. Это особенно важно, когда чтение затрагивает чувствительные темы, например политику, здоровье, финансы или личностное развитие. Даже если в перечне типов данных указаны только адреса электронной почты и номера телефонов, контекст платформы может усилить последствия для конфиденциальности.

Инцидент с Substack подчёркивает для организаций и независимых издателей важность защиты переписки по вопросам подписки и данных профилей. Издателям следует чётко сообщать читателям, через какой канал будут проходить оплата, оформление подписки и проверка аккаунта. Пользователям, в свою очередь, следует включить многофакторную аутентификацию для своих аккаунтов, указать адрес электронной почты для восстановления доступа и проверить историю сеансов.

Пострадавшим пользователям следует внимательно оценивать сообщения, поступающие от имени Substack и касающиеся подписок, платежей, приглашений к публикации, удаления контента, авторских прав, проверки аккаунта или сотрудничества с авторами. Даже если поле с паролем не указано, адреса электронной почты и номера телефона достаточно для адресного обращения. Если требуется выполнить какое-либо действие, следует воспользоваться привычным адресом входа, а не ссылкой в сообщении.

Контекст издания в записи Substack может указывать на темы, которыми интересуются пользователи, или на авторов контента, с которыми они взаимодействуют. Даже если такая связь не указана напрямую как отдельный тип данных, её можно вывести из адреса электронной почты и сведений профиля. Пользователи, следящие за изданиями о политике, финансах, здоровье или личностном развитии, могут столкнуться с более адресными сообщениями.

Для издателей критически важны платёжные настройки, собственный домен и управление подписчиками. Поддельное сообщение от имени Substack может быть нацелено на доходы издателя, список читателей или доступ к аккаунту. Читателей, в свою очередь, могут направлять на поддельные платёжные страницы под предлогом продления подписки или получения доступа к эксклюзивному контенту. И тем и другим следует выполнять операции через привычную панель управления аккаунтом, а не по ссылке в сообщении.

Для пользователей, в чьих записях нет номера телефона, риск в большей степени связан с сопоставлением адреса электронной почты и профиля. Если номер телефона присутствует, к этому добавляются SMS и звонки. Это важное различие. Пользователям не следует сообщать код подтверждения независимо от того, по какому каналу с ними связались, а запросы на оплату необходимо проверять через отдельный канал.