Substack 2025年数据泄露事件

本记录列出的数据类型为电子邮箱地址和电话号码字段，未列出密码、支付卡或私信内容字段。不过，在 Substack 这样的发布平台上，电子邮箱地址与作者或读者身份、刊物名称、兴趣及订阅往来信息相结合，就可能成为定向社会工程攻击的有用素材。

Substack 用户可能收到许多与电子通讯、订阅、刊物更新、付款、评论、关注及作者沟通有关的消息。这些日常消息可能让虚假的发布者邀请、续订通知、付款问题、内容移除或账户验证消息显得可信。用户应通过熟悉的账户管理界面进行操作，而不是点击消息中的链接。

对于包含电话号码的那部分记录，还存在通过短信和电话进行欺骗的风险。用户可能收到虚假的续订通知、付款错误提示、验证码消息或发布内容安全警告。将电话号码、电子邮箱地址和发布内容 ID 结合使用，可能让联系显得更具针对性、更贴近用户。用户不应通过电话或消息向任何人提供验证码。

作者面临的风险与读者有所不同。发布者可能收到虚假的版权通知、账户停用通知、支付服务商更新通知或广告合作邀约。如果这些消息结合刊物名称和公开个人资料进行个性化处理，就可能显得可信。尤其需要谨慎保护付款设置和域名转发设置。

对读者而言，风险在于其兴趣和订阅背景可能被用于定制消息。攻击者可能围绕某一刊物或主题对用户进行定向欺骗。当阅读偏好涉及政治、健康、金融或个人成长等敏感领域时，这类风险会更加突出。即使列出的数据类型只有电子邮箱地址和电话号码，平台背景也可能加大对隐私的影响。

对机构和独立发布者而言，Substack 事件凸显了订阅沟通和个人资料数据的安全问题。发布者应向读者明确说明，付款、订阅及账户验证流程会通过哪些渠道进行。用户则应为账户启用多因素身份验证，设置恢复邮箱，并检查会话历史记录。

受影响用户应仔细判断以 Substack 名义发来的订阅、付款、刊物邀请、内容移除、版权、账户验证或作者合作消息。即使未列出密码字段，电子邮箱地址和电话号码也足以用于定向联系。如需操作，应使用熟悉的登录地址，而不是消息中的链接。

Substack 记录中的内容发布背景可能反映用户对哪些主题感兴趣，或与哪些内容创作者有互动。即使这种关联并未直接列为一种数据类型，也可能通过电子邮箱地址和个人资料背景推断出来。关注政治、金融、健康或个人成长等主题刊物的用户，可能遇到针对性更强的消息。

对发布者而言，付款设置、自定义域名和订阅者管理都是关键环节。假冒的 Substack 消息可能针对发布者的收入来源、读者名单或账户访问权限。读者则可能被引导至虚假支付页面，对方以续订或访问专属内容为借口。无论是发布者还是读者，都应通过熟悉的账户管理界面完成操作，而不是使用消息中的链接。

对于未包含电话号码的用户，风险更多在于电子邮箱地址与个人资料的关联；对于包含电话号码的用户，则还多了短信和电话这两种联系渠道。区分这两种情况很重要。无论对方通过哪种渠道联系，用户都不应提供验证码，并应通过另一独立渠道核实付款请求。