Cuando una empresa dice que "solo se expusieron correos electrónicos y números de teléfono", es fácil encogerse de hombros. Ni contraseñas ni tarjetas de crédito... ¿qué daño hay?
En realidad, las direcciones de correo electrónico y los números de teléfono son dos de los datos más poderosos.claves de uniónen el internet moderno. Son los identificadores que permiten a los atacantes conectar tu presencia a través de servicios, atacarte con phishing y smishing convincentes y, en algunos casos, intentar robar cuentas mediante restablecimientos de contraseñas o ingeniería social al estilo del intercambio de SIM. Una filtración de información de contacto no es lo mismo que una filtración de datos bancarios, pero puede ser la primera ficha de dominó que hace que otros ataques sean más baratos y tengan más probabilidades de éxito
Esta semana, Substack comenzó a notificar a algunos titulares de cuentas que un incidente de seguridad permitió que una parte no autorizada accediera a datos limitados de los usuarios, incluidas direcciones de correo electrónico y números de teléfono, y Substack dijo que el acceso ocurrió en octubre de 2025 y fue descubierto e investigado a principios de febrero de 2026. El director ejecutivo de Substack se disculpó y dijo que no se accedió a las contraseñas ni a la información financiera.
Analicemos qué pueden permitir aún los “datos de usuario limitados”, qué deberían hacer los usuarios (en orden de impacto) y cómo es una buena respuesta de la plataforma cuando los campos filtrados son “solo” detalles de contacto.
Lo que Substack dice que sucedió (y lo que aún se desconoce)
Según el mensaje de notificación de Substack compartido públicamente y reportado porThe VergeLa compañía identificó evidencia de un problema que permitía a un tercero no autorizado acceder a datos limitados de los usuarios sin permiso, incluyendo direcciones de correo electrónico, números de teléfono y metadatos internos. Substack afirma que solucionó el problema y está realizando una investigación completa, y que no se accedió a los números de tarjetas de crédito, contraseñas ni información financiera
Dos partes de esa declaración son importantes para comprender el riesgo:
- Tiempo:El acceso ocurrió meses antes (octubre de 2025), pero se identificó más tarde. Esa brecha puede afectar el tiempo que un atacante tuvo para explorar los sistemas o exfiltrar datos
- Incertidumbre del alcance:La empresa no especificó públicamente cuántos usuarios se vieron afectados, qué incluyen los «metadatos internos» o si se expuso algún estado de la cuenta (como el historial de inicio de sesión, las huellas dactilares del dispositivo o las listas de suscriptores).
Esas incógnitas no significan necesariamente lo peor. Pero sí significan que los usuarios deben asumir que su correo electrónico y número de teléfono podrían estar en manos de alguien dispuesto a explotarlos, y que sus cuentas en línea que usan esos identificadores podrían experimentar un aumento de estafas dirigidas.
Por qué el correo electrónico y el teléfono son una fuga de información de gran valor incluso sin contraseñas
Las direcciones de correo electrónico y los números de teléfono son especiales porque se utilizan para tres tareas fundamentales:
- Identidad:son el nombre de usuario que muchos servicios usan como nombre de usuario.
- Recuperación:Son los canales utilizados para restablecer contraseñas.
- Alcance:son la forma en que los estafadores pueden contactarte de forma económica y a gran escala (correo electrónico) o con alta urgencia y credibilidad (SMS/teléfono).
Una vez que un atacante obtiene tu correo electrónico y teléfono, puede hacer más que enviar spam genérico. Puede personalizar mensajes que hagan referencia al servicio afectado, generar presión ("tu cuenta será suspendida") y dirigirte a una página de inicio de sesión falsa o a un flujo falso de "verifica tu teléfono". El objetivo no es necesariamente acceder a Substack, sino a cualquier otra cosa que uses que comparta la misma información de contacto.
Por eso, agencias como CISA insisten en el escepticismo hacia los mensajes no solicitados, especialmente aquellos que intentan crear urgencia, solicitar información personal o incitar a hacer clic en un enlace. El phishing y su variante SMS («smishing») suelen ser la forma más económica para que un atacante convierta la información de contacto filtrada en dinero o acceso.
Los riesgos prácticos para los usuarios de Substack
Estas son las amenazas más probables que surgen después de una filtración de información de contacto y cómo se manifiestan en la vida real.
1) Correos electrónicos de phishing que parecen de Substack
Espera recibir correos electrónicos que te indiquen que necesitas "confirmar tu contraseña", "volver a verificar tus datos de pago" o "evitar perder el acceso". Pueden incluir logotipos de aspecto oficial y remitentes plausibles. El truco suele estar en el dominio (una URL similar) o en un enlace que lleva a otro sitio.substack.com.
Lo que empeora esto: si los atacantes también tienen «metadatos internos», pueden saber si eres escritor o lector, o a qué boletines informativos estás suscrito, y pueden hacer que los mensajes sean más convincentes
2) Smishing y vishing (mensajes de texto y llamadas)
Los números de teléfono filtrados dan pie a un tipo diferente de estafa: mensajes de texto y llamadas breves y urgentes que se aprovechan de que las personas tienden a confiar más en las comunicaciones telefónicas que en el correo electrónico. La CISA señala que los atacantes pueden combinar voz y texto («vishing» y «smishing») con un identificador de llamadas falso, lo que incita a las víctimas a revelar información confidencial o instalar software de «soporte».
Un mensaje típico de smish podría decir: "Seguridad de Substack: se detectó un inicio de sesión inusual. Responda SÍ para bloquear su cuenta". Si responde, confirma que el número está activo y que está conectado.
3) Intentos de apropiación de cuentas mediante restablecimiento de contraseña en otro lugar
Si reutilizas contraseñas (o usas contraseñas débiles), la información de contacto se convierte en una forma de acceder. Incluso si tu contraseña no se filtró desde Substack, un atacante puede intentar restablecerla en otros sitios que usen tu correo electrónico o número de teléfono. No necesitan la contraseña antigua si pueden convencerte de que les des un código o si pueden comprometer tu cuenta de correo electrónico.
Es por esto que las “verdaderas joyas de la corona” suelen ser tu bandeja de entrada de correo electrónico y tu número de teléfono móvil: si controlas cualquiera de ellos, un atacante a menudo puede atacar muchas otras cuentas.
4) Intentos de fraude de intercambio de SIM/portación de números
El intercambio de tarjetas SIM no es nuevo, pero un conjunto de datos que vincula los números de teléfono a un servicio en línea específico puede ayudar a los atacantes a identificar objetivos. Muchos operadores móviles han mejorado sus defensas, pero la ingeniería social sigue siendo un riesgo, especialmente si un atacante puede obtener contexto adicional de otras fuentes.
Si dependes de SMS para la autenticación de dos factores (2FA) en cuentas importantes, cambiar la SIM es una de las consecuencias más alarmantes. Esto no es motivo de pánico, sino de reducir la dependencia de SMS para inicios de sesión críticos, donde tienes mejores opciones.
Lo que debes hacer ahora (el de mayor impacto primero)
La notificación de Substack recomienda extremar la precaución con correos electrónicos o mensajes de texto sospechosos. Es un buen consejo, pero es impreciso. Aquí tienes una lista de verificación más concreta y priorizada que la mayoría de las personas pueden completar en 15 a 30 minutos.
1) Bloquea tu cuenta de correo electrónico principal
Tu bandeja de entrada es la clave para restablecer contraseñas. Si solo haces una cosa, haz lo siguiente:
- Activala autenticación de dos factorespara tu proveedor de correo electrónico (preferiblemente una aplicación de autenticación o una llave de hardware).
- Revisalas opciones de recuperación de cuenta(copia de seguridad del correo electrónico/teléfono) y elimina todo lo que no controles
- Cambie su contraseña de correo electrónico si la reutiliza en otro lugar.
Si eres un escritor que usa Substack profesionalmente, trata la seguridad de tu correo electrónico como tratas a tu banco: es su infraestructura.
2) Cambia tu contraseña de Substack (y deja de reutilizar contraseñas)
Aunque Substack indique que no se accedió a las contraseñas, cambiar la tuya es una solución económica, sobre todo si la has usado en otros sitios. Usa una contraseña única y larga generada por un gestor de contraseñas.
Si Substack admite claves de acceso u opciones de inicio de sesión más seguras, considere habilitarlas. El objetivo a largo plazo es reducir la eficacia del phishing al reducir la dependencia de secretos compartidos que se pueden introducir en un sitio web falso.
3) Habilite una autenticación de dos factores más sólida donde más importa
En sus cuentas más importantes (correo electrónico, banca, almacenamiento en la nube, redes sociales que pueden usarse para estafas), prefiera:
- Aplicación de autenticación (TOTP) por SMS
- Llaves de seguridad de hardware (mejor, cuando estén disponibles)
- Claves de acceso (cada vez más seguras contra el phishing, según la implementación)
La autenticación de dos factores (A2F) basada en SMS es mejor que nada, pero es vulnerable a ataques de portabilidad numérica e ingeniería social dirigida. Si eres un creador de contenido de cara al público, vale la pena actualizarla.
4) Ajusta tu filtro de spam mental durante unas semanas
Tras la divulgación de una filtración, los atacantes suelen atacar mientras la noticia aún está fresca. Durante el siguiente mes aproximadamente:
- Sea escéptico con los mensajes que mencionen Substack, boletines informativos, “verificación” o “seguridad”.
- No haga clic en los enlaces de inicio de sesión de correos electrónicos o mensajes de texto. En su lugar, escriba el dominio usted mismo o use un marcador.
- Desconfíe de las solicitudes urgentes de códigos de un solo uso. Ningún soporte técnico legítimo de una empresa debería solicitar sus códigos de autenticación en dos pasos.
Las directrices de CISA son contundentes por una razón: la forma más fácil de evitar ser víctima de phishing es asumir que cualquier solicitud no solicitada podría ser hostil hasta verificarla de forma independiente.
5) Si eres un escritor de Substack: considera el riesgo que enfrenta tu audiencia
Los creadores enfrentan una amenaza adicional: la suplantación de identidad. Si los atacantes logran suplantar de forma convincente tu identidad relacionada con Substack, podrían dirigirse a tus suscriptores con "ofertas especiales", estafas con criptomonedas o enlaces falsos para recaudar fondos.
Considere publicar una nota breve para sus suscriptores: nunca les pedirá contraseñas, códigos de un solo uso o detalles de pago por correo electrónico.
Cómo es una buena respuesta de una empresa (más allá de una disculpa)
El mensaje de Substack incluye una solución y una investigación. Es necesario, pero las mejores respuestas ante una brecha de seguridad también son...específico. La guía de la FTC para las empresas enfatiza la seguridad de las operaciones, la corrección de vulnerabilidades y la comunicación clara sin omisiones engañosas. En términos del consumidor, «claro» significa:
- Exactamente a qué campos de datos se accedió (correo electrónico, teléfono, nombre, dirección, registros de IP, listas de suscriptores, mensajes directos, etc.)
- ¿Cuántas cuentas se vieron afectadas, incluso en un rango?
- Qué pueden hacer los usuarios que reduce significativamente el riesgo (2FA, administrador de contraseñas, estar atentos al smishing)
- Cómo ocurrió el incidente a un alto nivel (por ejemplo, credencial expuesta, punto final vulnerable, configuración incorrecta) una vez que es seguro divulgarlo
- ¿Qué indicadores de compromiso existen (¿Hubo inicios de sesión sospechosos? ¿Pueden los usuarios ver sesiones recientes?)
A veces, las empresas evitan dar detalles porque no quieren ayudar a los atacantes imitadores o porque las investigaciones están en curso. Pero ocultar demasiado deja a los usuarios con la incertidumbre, y la incertidumbre suele generar pánico o complacencia.
Por qué los “metadatos internos” son más importantes de lo que parecen
En muchas vulneraciones, la información más perjudicial no reside en los campos obvios. Los "metadatos internos" pueden ser elementos como:
- Fecha de creación de la cuenta y hora del último inicio de sesión
- Si un correo electrónico está verificado
- Propiedad del boletín informativo o número de suscriptores
- Estado de verificación del teléfono
- Historial de tickets de soporte
Cada uno de estos ayuda a un atacante a crear un mensaje que parezca real. Si un mensaje de texto dice "Su cuenta de Substack creada en 2021 necesita una nueva verificación", y eso es cierto, es más probable que el objetivo cumpla. Por eso, la transparencia sobre los metadatos expuestos no es un detalle superficial; está directamente relacionada con lo convincente que será la próxima ola de estafas
Lo que no debes hacer
Tres errores comunes después de una divulgación de una infracción:
- No respondas a mensajes de "seguridad" aleatorios. Estás validando tu número y generando más contactos.
- No instales aplicaciones de soporte técnico porque alguien te llamó. Si necesitas ayuda, contacta a través de los canales oficiales que tú mismo busques.
- No asuma que está a salvo porque no recibió un correo electrónico. Las notificaciones pueden estar escalonadas, incompletas o limitadas por los datos de contacto registrados. Considere esto como una señal de advertencia general, no como una señal de que no hay peligro.
La lección más importante: los datos de contacto ahora son datos “sensibles”
Solemos clasificar los datos según su capacidad para vaciar directamente una cuenta bancaria. Pero la economía de estafa moderna a menudo funciona indirectamente: filtra identificadores, suplanta credenciales, secuestra un correo electrónico, restablece otras cuentas, monetiza el acceso. Las direcciones de correo electrónico y los números de teléfono son el primer peldaño de esa escalera.
Para las plataformas, esto significa que proteger los datos de contacto requiere la misma seriedad que proteger las contraseñas, no porque los campos sean equivalentes, sino porque los atacantes pueden utilizarlos como herramienta de presión.
Para los usuarios, es un recordatorio de que la mejor defensa no es el secretismo perfecto (las violaciones ocurren), sino la resiliencia: contraseñas únicas, 2FA fuerte y hábitos que hacen que el phishing no sea rentable.
En resumen
Una filtración de correos electrónicos y números de teléfono puede parecer limitada, pero aun así puede aumentar significativamente tu exposición a ataques de phishing, smishing y robo de cuentas en otros sitios. Considera el aviso de Substack como un aviso para reforzar los dos sistemas más importantes: tu cuenta de correo electrónico y tu seguridad de inicio de sesión.
Y si ve un aumento repentino en los mensajes de "Seguridad de Substack", suponga que el incidente ha creado una nueva ola de estafas y no haga clic primero, verifique primero.
Fuentes
- https://www.theverge.com/tech/874255/substack-data-breach-user-emails-phone-numbers
- https://lorichristian.substack.com/p/notice-of-data-breach
- https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks
- https://www.ftc.gov/business-guidance/resources/data-breach-response-guide-business