Substack のデータ侵害: メールと電話の漏洩がなぜ重要なのか (そして次に何をすべきか)

企業が「流出したのはメールアドレスと電話番号だけです」と言うと、簡単に肩をすくめてしまいます。パスワードもクレジットカード情報も盗まれていないのに、一体何が問題なのでしょうか？

実際には、メールアドレスと電話番号は最も強力な2つの結合キー現代のインターネットでは、個人情報は重要な情報源です。攻撃者はこれらの情報を使って、複数のサービス間であなたの存在を結びつけ、巧妙なフィッシングやスミッシング攻撃を仕掛け、場合によってはパスワードリセットやSIMスワップ型のソーシャルエンジニアリングによってアカウント乗っ取りを企てることもあります。連絡先情報の漏洩は銀行口座情報の漏洩とは異なりますが、他の攻撃のコストを下げ、成功率を高める最初の連鎖反応となる可能性があります。

今週、サブスタックは一部のアカウント保有者に対し、セキュリティインシデントにより権限のない第三者がメールアドレスや電話番号を含む限定的なユーザーデータにアクセスできたことを通知し始めた。サブスタックによると、アクセスは2025年10月に発生し、2026年2月上旬に発見・調査されたという。サブスタックのCEOは謝罪し、パスワードや財務情報にはアクセスされていないと述べた。

「限定的なユーザーデータ」によって何が実現可能になるのか、ユーザーは何をすべきか（影響の順に）、漏洩したフィールドが「単なる」連絡先の詳細である場合の適切なプラットフォームの対応はどのようなものなのかを詳しく説明します。

Substackが伝えている出来事（そしてまだ不明なこと）

Substackの通知メッセージによると、公開され、ザ・ヴァージ同社は、メールアドレス、電話番号、内部メタデータなど、一部のユーザーデータに第三者が許可なくアクセスできる問題の証拠を確認した。Substackは問題を修正し、徹底的な調査を実施しており、クレジットカード番号、パスワード、財務情報へのアクセスはなかったと述べている。

この声明の 2 つの部分は、リスクを理解する上で重要です。

タイミング：アクセスは数か月前（2025年10月）に発生しましたが、その後特定されました。このギャップは、攻撃者がシステムを探索したりデータを盗み出したりするのに要した時間に影響を与える可能性があります。
範囲の不確実性:同社は、影響を受けたユーザー数や「内部メタデータ」に含まれるもの、アカウントの状態（ログイン履歴、デバイスのフィンガープリント、加入者リストなど）が漏洩したかどうかについては公表していない。

これらの未知の情報が必ずしも最悪の事態を意味するわけではありません。しかし、ユーザーは自分のメールアドレスや電話番号が、悪用しようとする誰かの手に渡っている可能性があると想定しておくべきです。そして、それらの識別子を使用しているオンラインアカウントでは、標的型詐欺が増加する可能性があります。

パスワードがなくても、メールと電話が漏洩価値の高い情報になる理由

電子メールアドレスと電話番号は、次の 3 つの重要な用途に使用されるため特別です。

身元：多くのサービスがユーザー名として使用しているハンドルです。
回復：パスワードをリセットするために使用されるチャネルです。
到着：詐欺師は、安価に大規模に（電子メール）または高い緊急性と信頼性を持って（SMS/電話）あなたに連絡を取ることができます。

攻撃者があなたのメールアドレスと電話番号を入手すれば、単なるスパムメールを送る以上のことを実行できるようになります。侵害されたサービスに言及するメッセージをカスタマイズしたり、「アカウントが停止されます」といったプレッシャーをかけたり、偽のログインページや偽の「電話番号認証」フローに誘導したりすることも可能です。攻撃者の目的は必ずしもSubstackへの侵入ではなく、同じ連絡先情報を共有する他のあらゆるサービスへの侵入です。

CISAなどの機関が、特に緊急性を煽ったり、個人情報を要求したり、リンクをクリックさせようとする迷惑メッセージに対して警戒を強めているのはそのためです。フィッシングやそのSMS亜種（「スミッシング」）は、攻撃者が漏洩した連絡先情報を金銭やアクセスに変える最も安価な手段となることがよくあります。

Substackユーザーにとっての実際的なリスク

ここでは、連絡先情報の漏洩後に最も起こりうる追加の脅威と、それが現実にどのように現れるかについて説明します。

1) Substackを装ったフィッシングメール

「パスワードの確認」「お支払い情報の再確認」「アクセスの喪失を避ける」といった内容のメールが届く可能性があります。公式に見えるロゴや、もっともらしい送信者名が記載されている場合もあります。その手口は、ドメイン（類似のURL）や、公式ではないリンクに隠されていることが多いです。substack.com。

さらに悪いことに、攻撃者が「内部メタデータ」も持っている場合、攻撃者はあなたが書き手なのか読者なのか、またはどのニュースレターを購読しているのかを把握し、メッセージをより説得力のあるものにすることができます。

2) スミッシングとヴィッシング（テキストと通話）

漏洩した電話番号は、人々がメールよりも電話を信頼する傾向があるという事実を悪用し、短く緊急性の高いテキストメッセージや電話による詐欺を誘発する。CISAは、攻撃者が音声とテキストメッセージ（「ヴィッシング」や「スミッシング」）を偽の発信者番号と組み合わせて、被害者に機密情報の開示や「サポート」ソフトウェアのインストールを迫る可能性があると指摘している。

典型的なSmishのメッセージは、「Substackセキュリティ：通常とは異なるログインが検出されました。アカウントをロックするには「はい」と返信してください。」といった感じでしょうか。返信すれば、その番号が有効であることが確認され、通話中であることが分かります。

3) パスワードリセットによるアカウント乗っ取りの試み

パスワードを使い回したり、脆弱なパスワードを使用したりすると、連絡先情報が侵入経路となります。たとえSubstackからパスワードが漏洩していなくても、攻撃者はあなたのメールアドレスや電話番号を使用している他のサイトでパスワードのリセットを試みることができます。攻撃者は、あなたにコードを渡させることができたり、あなたのメールアカウントに侵入することができれば、古いパスワードは必要ありません。

このため、「真の宝」となるのは通常、電子メールの受信トレイと携帯電話番号です。どちらか一方をコントロールすると、攻撃者は他の多くのアカウントに侵入できる場合が多くあります。

4) SIMスワップ/番号ポート詐欺の試み

SIMスワップは目新しいものではありませんが、電話番号と特定のオンラインサービスを結び付けるデータセットは、攻撃者が標的を選定する上で役立ちます。多くの携帯電話事業者は防御力を強化していますが、ソーシャルエンジニアリングは依然としてリスクであり、特に攻撃者が他の情報源から追加のコンテキストを収集できる場合はなおさらです。

重要なアカウントの2要素認証（2FA）にSMSを頼りにしている場合、SIMカードの交換は最も恐ろしい事態の一つです。しかし、慌てる必要はありません。むしろ、より有効な手段がある重要なログインでは、SMSへの依存を減らすべきです。

今すべきこと（影響度の高いものから）

Substackの通知では、不審なメールやテキストメッセージには特に注意するよう促されています。これは良いアドバイスですが、漠然としています。ここでは、ほとんどの人が15～30分で実行できる、より具体的で優先順位の高いチェックリストをご紹介します。

1) メインのメールアカウントをロックダウンする

メールの受信トレイはパスワードリセットのマスターキーです。もし一つだけ対策を講じるなら、次のことを行ってください。

オンにする二要素認証メールプロバイダー用 (認証アプリまたはハードウェアキーを優先)。
レビューアカウント回復オプション（バックアップのメール/電話）そして、自分が管理していないものはすべて削除します。
他の場所で再利用されている場合は、電子メールのパスワードを変更してください。

Substack を専門的に使用するライターの場合は、電子メールのセキュリティを銀行のように扱ってください。つまり、それはインフラストラクチャなのです。

2) Substackのパスワードを変更する（パスワードの使い回しをやめる）

Substackがパスワードにアクセスされていないと表示したとしても、パスワードを変更することは安価な保険です。特に他のサイトで同じパスワードを使用している場合はなおさらです。パスワードマネージャーで生成された、ユニークで長いパスワードを使用してください。

Substackがパスキーやより強力なログインオプションをサポートしている場合は、有効化を検討してください。長期的な目標は、偽のウェブサイトに入力できる共有秘密鍵への依存を減らすことで、フィッシングの有効性を低減することです。

3) 最も重要な部分で強力な2FAを有効にする

最も重要なアカウント（メール、銀行、クラウドストレージ、詐欺に使用される可能性のあるソーシャルメディアハンドル）では、次の設定を優先します。

SMS経由の認証アプリ（TOTP）
ハードウェアセキュリティキー (利用可能な場合に最適)
パスキー（実装に応じてフィッシングに対する強度が増します）

SMSベースの2FAは何もしないよりはましですが、ナンバーポート攻撃や標的型ソーシャルエンジニアリングに対して脆弱です。一般ユーザー向けのクリエイターであれば、アップグレードする価値があります。

4) 数週間、心の中のスパムフィルターを調整する

情報漏洩の発覚後、攻撃者はしばしばその情報が新鮮なうちに攻撃を仕掛けます。その後1ヶ月ほどは、以下のような状況です。

Substack、ニュースレター、「検証」、または「セキュリティ」について言及しているメッセージには疑いを持ってください。
メールやテキストメッセージ内のログインリンクをクリックしないでください。代わりに、ドメインを自分で入力するか、ブックマークを使用してください。
緊急のワンタイムコードの要求には注意してください。正規の企業サポートが2FAコードを要求することはありません。

CISA のガイダンスが率直なのはある理由があります。フィッシング詐欺を回避する最も簡単な方法は、独自に検証するまで、一方的なリクエストは悪意のあるものである可能性があると想定することです。

5) Substackのライターの場合：読者に直面するリスクを考慮する

クリエイターには、なりすましという新たな脅威が存在します。攻撃者がSubstack関連のあなたのIDを巧妙に偽装できれば、「特別オファー」や暗号通貨詐欺、偽の資金調達リンクなどで登録者を狙う可能性があります。

購読者に対して短いメモを投稿することを検討してください。メールでパスワード、ワンタイムコード、または支払いの詳細を尋ねることは決してありません。

企業としての良い対応とは（謝罪を超えて）

Substackのメッセージには、修正と調査が含まれています。これは必要ですが、侵害に対する最善の対応は特定のFTCの企業向けガイダンスでは、業務の安全性確保、脆弱性の修正、そして誤解を招くような省略のない明確なコミュニケーションを重視しています。消費者にとっての「明確」とは、以下のことを意味します。

アクセスされたデータフィールドの正確な内容 (電子メール、電話、名前、住所、IP ログ、購読者リスト、DM など)
影響を受けたアカウントの数（範囲は問わない）
ユーザーがリスクを大幅に軽減するためにできること（2FA、パスワードマネージャー、スミッシングへの注意）
安全に開示できるようになった時点で、インシデントがどのように発生したか（例：資格情報の漏洩、脆弱なエンドポイント、構成ミス）の概要
どのような侵害の兆候が存在するか (不審なログインがあったか? ユーザーは最近のセッションを表示できるか?)

企業は、模倣犯を助けたくない、あるいは捜査が進行中であるという理由で、詳細を明かさないことがあります。しかし、あまりに多くの情報を伏せすぎると、ユーザーは推測するしかなく、その推測はパニックや油断を生む傾向があります。

「内部メタデータ」が想像以上に重要な理由

多くの侵害において、最も損害を与える情報は明白なフィールドではありません。「内部メタデータ」とは、次のようなものを指します。

アカウント作成日と最終ログイン時間
メールが検証されているかどうか
ニュースレターの所有権または購読者数
電話認証ステータス
サポートチケット履歴

これらはどれも、攻撃者が本物らしく感じられるメッセージを作成するのに役立ちます。「2021年に作成されたSubstackアカウントは再認証が必要です」というメッセージが実際にあった場合、標的はそれに従う可能性が高くなります。だからこそ、漏洩したメタデータの透明性は、単なるオタク的な詳細ではなく、次の一連の詐欺がどれほど説得力を持つかに直接関係しているのです。

してはいけないこと

侵害開示後のよくある3つの間違い:

ランダムな「セキュリティ」メッセージには返信しないでください。自分の電話番号を認証し、さらなる連絡を誘っていることになります。
誰かに電話されたからといって、「サポート」アプリをインストールしないでください。助けが必要な場合は、自分で調べた公式のチャネルから連絡を取りましょう。
メールが届かないからといって、安全だと決めつけないでください。通知は段階的であったり、不完全であったり、登録されている連絡先情報によって制限されている場合があります。これは一般的な警告サインであり、個人的な安全を意味するものではありません。

より大きな教訓：連絡先データは今や「機密」データである

私たちは、データを直接銀行口座から引き出せるかどうかでランク付けする傾向があります。しかし、現代の詐欺経済は、多くの場合、間接的に作用します。IDの漏洩、認証情報のフィッシング、メールの乗っ取り、他のアカウントのリセット、アクセスによる収益化などです。メールアドレスと電話番号は、その階段の最初の段です。

プラットフォームにとって、これは連絡先データの保護にはパスワードの保護と同じ厳しさが求められることを意味します。これはフィールドが同等だからではなく、攻撃者がそれを悪用する可能性があるためです。

ユーザーにとって、これは、最善の防御は完全な秘密保持ではなく (侵害は起こる)、回復力、つまり固有のパスワード、強力な 2FA、フィッシングを不利益にする習慣であるということを思い出させるものです。

結論

メールアドレスや電話番号の漏洩は「限定的」に聞こえるかもしれませんが、標的型フィッシング、スミッシング、アカウント乗っ取りなどの攻撃を受けるリスクを大幅に高める可能性があります。Substackからの通知を、最も重要な2つのシステム、つまりメールアカウントとログインのセキュリティ強化を促すきっかけとして捉えてください。

また、「Substack セキュリティ」のメッセージが急増した場合は、この事件が新たな詐欺の波を引き起こしたと想定し、まずクリックするのではなく、まず確認してください。

出典

Document Title
Substack data breach: why email-and-phone leaks matter (and what to do next)	Substack のデータ侵害: メールと電話の漏洩がなぜ重要なのか (そして次に何をすべきか)

A Substack incident exposed some users' email addresses and phone numbers. Here's why that still matters, the real risks (phishing, smishing, SIM swap), and a practical checklist.	Substackのインシデントにより、一部ユーザーのメールアドレスと電話番号が流出しました。これが依然として重要な理由、実際のリスク（フィッシング、スミッシング、SIMスワップ）、そして実用的なチェックリストをご紹介します。
Title Attribute
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin	管理者によるすべての投稿を表示
SpaceX buys xAI: what Musk’s ‘super company’ means for AI, Starlink, and space-based data centers	SpaceXがxAIを買収：マスク氏の「スーパーカンパニー」がAI、スターリンク、宇宙ベースのデータセンターにもたらす影響
Why the yacht industry is trying to quit teak — and what could replace it	ヨット業界がチーク材の使用をやめようとしている理由と、その代替となるもの
Page Content
Substack data breach: why email-and-phone leaks matter (and what to do next)	Substack のデータ侵害: メールと電話の漏洩がなぜ重要なのか (そして次に何をすべきか)
Nature
Climate
/
General
/ By
Admin
When a company says “only emails and phone numbers were exposed,” it’s easy to shrug. No passwords, no credit cards — so what’s the harm?	企業が「流出したのはメールアドレスと電話番号だけです」と言うと、簡単に肩をすくめてしまいます。パスワードもクレジットカード情報も盗まれていないのに、一体何が問題なのでしょうか？
In reality, email addresses and phone numbers are two of the most powerful	実際には、メールアドレスと電話番号は最も強力な2つの
join keys
in the modern internet. They’re the identifiers that let attackers connect your presence across services, target you with convincing phishing and smishing, and in some cases attempt account takeovers through password resets or SIM swap–style social engineering. A leak of contact info isn’t the same as a leak of bank details, but it can be the first domino that makes other attacks cheaper and more likely to succeed.	現代のインターネットでは、個人情報は重要な情報源です。攻撃者はこれらの情報を使って、複数のサービス間であなたの存在を結びつけ、巧妙なフィッシングやスミッシング攻撃を仕掛け、場合によってはパスワードリセットやSIMスワップ型のソーシャルエンジニアリングによってアカウント乗っ取りを企てることもあります。連絡先情報の漏洩は銀行口座情報の漏洩とは異なりますが、他の攻撃のコストを下げ、成功率を高める最初の連鎖反応となる可能性があります。
This week, Substack began notifying some account holders that a security incident allowed an unauthorized party to access limited user data — including email addresses and phone numbers — with Substack saying the access occurred in October 2025 and was discovered and investigated in early February 2026. Substack’s CEO apologized and said that passwords and financial information were not accessed.	今週、サブスタックは一部のアカウント保有者に対し、セキュリティインシデントにより権限のない第三者がメールアドレスや電話番号を含む限定的なユーザーデータにアクセスできたことを通知し始めた。サブスタックによると、アクセスは2025年10月に発生し、2026年2月上旬に発見・調査されたという。サブスタックのCEOは謝罪し、パスワードや財務情報にはアクセスされていないと述べた。
Let’s unpack what “limited user data” can still enable, what users should do (in order of impact), and what a good platform response looks like when the leaked fields are “just” contact details.	「限定的なユーザーデータ」によって何が実現可能になるのか、ユーザーは何をすべきか（影響の順に）、漏洩したフィールドが「単なる」連絡先の詳細である場合の適切なプラットフォームの対応はどのようなものなのかを詳しく説明します。
What Substack says happened (and what’s still unknown)	Substackが伝えている出来事（そしてまだ不明なこと）
According to Substack’s notification message shared publicly and reported by	Substackの通知メッセージによると、公開され、
The Verge
, the company identified evidence of an issue that allowed an unauthorized third party to access limited user data without permission, including email addresses, phone numbers, and internal metadata. Substack says it fixed the problem and is conducting a full investigation, and that credit card numbers, passwords, and financial information were not accessed.	同社は、メールアドレス、電話番号、内部メタデータなど、一部のユーザーデータに第三者が許可なくアクセスできる問題の証拠を確認した。Substackは問題を修正し、徹底的な調査を実施しており、クレジットカード番号、パスワード、財務情報へのアクセスはなかったと述べている。
Two parts of that statement matter for understanding risk:	この声明の 2 つの部分は、リスクを理解する上で重要です。
Timing:
access occurred months earlier (October 2025) but was identified later. That gap can affect how long an attacker had to explore systems or exfiltrate data.	アクセスは数か月前（2025年10月）に発生しましたが、その後特定されました。このギャップは、攻撃者がシステムを探索したりデータを盗み出したりするのに要した時間に影響を与える可能性があります。
Scope uncertainty:
the company did not publicly specify how many users were affected, what “internal metadata” includes, or whether any account state (like login history, device fingerprints, or subscriber lists) was exposed.	同社は、影響を受けたユーザー数や「内部メタデータ」に含まれるもの、アカウントの状態（ログイン履歴、デバイスのフィンガープリント、加入者リストなど）が漏洩したかどうかについては公表していない。
Those unknowns don’t automatically mean the worst. But they do mean users should assume that their email and phone number may be in the hands of someone who is willing to exploit them — and that their online accounts that use those identifiers may see an uptick in targeted scams.	これらの未知の情報が必ずしも最悪の事態を意味するわけではありません。しかし、ユーザーは自分のメールアドレスや電話番号が、悪用しようとする誰かの手に渡っている可能性があると想定しておくべきです。そして、それらの識別子を使用しているオンラインアカウントでは、標的型詐欺が増加する可能性があります。
Why email + phone is a high-value leak even without passwords	パスワードがなくても、メールと電話が漏洩価値の高い情報になる理由
Email addresses and phone numbers are special because they’re used for three critical jobs:	電子メールアドレスと電話番号は、次の 3 つの重要な用途に使用されるため特別です。
Identity:
they’re the handle many services use as your username.	多くのサービスがユーザー名として使用しているハンドルです。
Recovery:
they’re the channels used to reset passwords.	パスワードをリセットするために使用されるチャネルです。
Reach:
they’re how scammers can contact you cheaply at scale (email) or with high urgency and credibility (SMS/phone).	詐欺師は、安価に大規模に（電子メール）または高い緊急性と信頼性を持って（SMS/電話）あなたに連絡を取ることができます。
Once an attacker has your email and phone, they can do more than send generic spam. They can tailor messages that reference the breached service, create pressure (“your account will be suspended”), and funnel you into a fake login page or a fake “verify your phone” flow. The goal isn’t necessarily to break into Substack; it’s to break into whatever else you use that shares the same contact info.	攻撃者があなたのメールアドレスと電話番号を入手すれば、単なるスパムメールを送る以上のことを実行できるようになります。侵害されたサービスに言及するメッセージをカスタマイズしたり、「アカウントが停止されます」といったプレッシャーをかけたり、偽のログインページや偽の「電話番号認証」フローに誘導したりすることも可能です。攻撃者の目的は必ずしもSubstackへの侵入ではなく、同じ連絡先情報を共有する他のあらゆるサービスへの侵入です。
This is why agencies like CISA emphasize skepticism toward unsolicited messages, especially those that attempt to create urgency, request personal information, or push you to click a link. Phishing and its SMS variant (“smishing”) are often the cheapest way for an attacker to turn leaked contact info into money or access.	CISAなどの機関が、特に緊急性を煽ったり、個人情報を要求したり、リンクをクリックさせようとする迷惑メッセージに対して警戒を強めているのはそのためです。フィッシングやそのSMS亜種（「スミッシング」）は、攻撃者が漏洩した連絡先情報を金銭やアクセスに変える最も安価な手段となることがよくあります。
The practical risks for Substack users	Substackユーザーにとっての実際的なリスク
Here are the most likely follow-on threats after a contact-info leak, and how they show up in real life.	ここでは、連絡先情報の漏洩後に最も起こりうる追加の脅威と、それが現実にどのように現れるかについて説明します。
1) Phishing emails that look like Substack	1) Substackを装ったフィッシングメール
Expect emails that claim you need to “confirm your password,” “re-verify your payout details,” or “avoid losing access.” They may include official-looking logos and plausible sender names. The trick is usually in the domain (a lookalike URL) or in a link that goes somewhere other than	「パスワードの確認」「お支払い情報の再確認」「アクセスの喪失を避ける」といった内容のメールが届く可能性があります。公式に見えるロゴや、もっともらしい送信者名が記載されている場合もあります。その手口は、ドメイン（類似のURL）や、公式ではないリンクに隠されていることが多いです。
substack.com
.
What makes this worse: if attackers also have “internal metadata,” they may know whether you’re a writer vs. a reader, or what newsletters you subscribe to, and can make messages more convincing.	さらに悪いことに、攻撃者が「内部メタデータ」も持っている場合、攻撃者はあなたが書き手なのか読者なのか、またはどのニュースレターを購読しているのかを把握し、メッセージをより説得力のあるものにすることができます。
2) Smishing and vishing (texts and calls)	2) スミッシングとヴィッシング（テキストと通話）
Leaked phone numbers invite a different style of scam: short, urgent texts and calls that exploit the fact that people tend to trust phone communications more than email. CISA notes that attackers can combine voice and text (“vishing” and “smishing”) with spoofed caller ID, pushing victims to disclose sensitive information or install “support” software.	漏洩した電話番号は、人々がメールよりも電話を信頼する傾向があるという事実を悪用し、短く緊急性の高いテキストメッセージや電話による詐欺を誘発する。CISAは、攻撃者が音声とテキストメッセージ（「ヴィッシング」や「スミッシング」）を偽の発信者番号と組み合わせて、被害者に機密情報の開示や「サポート」ソフトウェアのインストールを迫る可能性があると指摘している。
A typical smish might say: “Substack Security: unusual login detected. Reply YES to lock your account.” If you reply, you’ve confirmed the number is active — and you’re engaged.	典型的なSmishのメッセージは、「Substackセキュリティ：通常とは異なるログインが検出されました。アカウントをロックするには「はい」と返信してください。」といった感じでしょうか。返信すれば、その番号が有効であることが確認され、通話中であることが分かります。
3) Account takeover attempts via password reset elsewhere	3) パスワードリセットによるアカウント乗っ取りの試み
If you reuse passwords (or use weak ones), contact info becomes a way in. Even if your password wasn’t leaked from Substack, an attacker can attempt password resets on other sites that use your email or phone number. They don’t need the old password if they can convince you to hand over a code, or if they can compromise your email account.	パスワードを使い回したり、脆弱なパスワードを使用したりすると、連絡先情報が侵入経路となります。たとえSubstackからパスワードが漏洩していなくても、攻撃者はあなたのメールアドレスや電話番号を使用している他のサイトでパスワードのリセットを試みることができます。攻撃者は、あなたにコードを渡させることができたり、あなたのメールアカウントに侵入することができれば、古いパスワードは必要ありません。
This is why the “real crown jewels” are usually your email inbox and your mobile number: control either of those, and an attacker can often pivot into many other accounts.	このため、「真の宝」となるのは通常、電子メールの受信トレイと携帯電話番号です。どちらか一方をコントロールすると、攻撃者は他の多くのアカウントに侵入できる場合が多くあります。
4) SIM swap / number-port fraud attempts	4) SIMスワップ/番号ポート詐欺の試み
SIM swapping isn’t new, but a dataset that ties phone numbers to a specific online service can help attackers pick targets. Many mobile carriers have improved defenses, but social engineering remains a risk, especially if an attacker can gather additional context from other sources.	SIMスワップは目新しいものではありませんが、電話番号と特定のオンラインサービスを結び付けるデータセットは、攻撃者が標的を選定する上で役立ちます。多くの携帯電話事業者は防御力を強化していますが、ソーシャルエンジニアリングは依然としてリスクであり、特に攻撃者が他の情報源から追加のコンテキストを収集できる場合はなおさらです。
If you rely on SMS for two-factor authentication (2FA) on important accounts, a SIM swap is one of the scariest outcomes. That’s not a reason to panic — it’s a reason to reduce dependence on SMS for critical logins where you have better options.	重要なアカウントの2要素認証（2FA）にSMSを頼りにしている場合、SIMカードの交換は最も恐ろしい事態の一つです。しかし、慌てる必要はありません。むしろ、より有効な手段がある重要なログインでは、SMSへの依存を減らすべきです。
What you should do now (highest impact first)	今すべきこと（影響度の高いものから）
Substack’s notification encourages extra caution around suspicious emails or texts. That’s good advice, but it’s vague. Here’s a more concrete, prioritized checklist that most people can execute in 15–30 minutes.	Substackの通知では、不審なメールやテキストメッセージには特に注意するよう促されています。これは良いアドバイスですが、漠然としています。ここでは、ほとんどの人が15～30分で実行できる、より具体的で優先順位の高いチェックリストをご紹介します。
1) Lock down your primary email account	1) メインのメールアカウントをロックダウンする
Your email inbox is the master key for password resets. If you do only one thing, do this:	メールの受信トレイはパスワードリセットのマスターキーです。もし一つだけ対策を講じるなら、次のことを行ってください。
Turn on
two-factor authentication
for your email provider (prefer an authenticator app or hardware key).	メールプロバイダー用 (認証アプリまたはハードウェアキーを優先)。
Review
account recovery options	アカウント回復オプション
(backup email/phone) and remove anything you don’t control.	（バックアップのメール/電話）そして、自分が管理していないものはすべて削除します。
Change your email password if it’s reused anywhere else.	他の場所で再利用されている場合は、電子メールのパスワードを変更してください。
If you’re a writer who uses Substack professionally, treat your email security like you treat your bank: it’s infrastructure.	Substack を専門的に使用するライターの場合は、電子メールのセキュリティを銀行のように扱ってください。つまり、それはインフラストラクチャなのです。
2) Change your Substack password (and stop reusing passwords)	2) Substackのパスワードを変更する（パスワードの使い回しをやめる）
Even if Substack says passwords weren’t accessed, changing your password is cheap insurance — especially if you’ve used the same password on other sites. Use a unique, long password generated by a password manager.	Substackがパスワードにアクセスされていないと表示したとしても、パスワードを変更することは安価な保険です。特に他のサイトで同じパスワードを使用している場合はなおさらです。パスワードマネージャーで生成された、ユニークで長いパスワードを使用してください。
If Substack supports passkeys or stronger login options, consider enabling them. The long-term goal is to make phishing less effective by reducing reliance on shared secrets you can type into a fake website.	Substackがパスキーやより強力なログインオプションをサポートしている場合は、有効化を検討してください。長期的な目標は、偽のウェブサイトに入力できる共有秘密鍵への依存を減らすことで、フィッシングの有効性を低減することです。
3) Enable stronger 2FA where it matters most	3) 最も重要な部分で強力な2FAを有効にする
On your most important accounts (email, banking, cloud storage, social media handles that can be used for scams), prefer:	最も重要なアカウント（メール、銀行、クラウドストレージ、詐欺に使用される可能性のあるソーシャルメディアハンドル）では、次の設定を優先します。
Authenticator app (TOTP) over SMS	SMS経由の認証アプリ（TOTP）
Hardware security keys (best, when available)	ハードウェアセキュリティキー (利用可能な場合に最適)
Passkeys (increasingly strong against phishing, depending on implementation)	パスキー（実装に応じてフィッシングに対する強度が増します）
SMS-based 2FA is better than nothing, but it’s vulnerable to number-port attacks and targeted social engineering. If you’re a public-facing creator, it’s worth upgrading.	SMSベースの2FAは何もしないよりはましですが、ナンバーポート攻撃や標的型ソーシャルエンジニアリングに対して脆弱です。一般ユーザー向けのクリエイターであれば、アップグレードする価値があります。
4) Adjust your mental spam filter for a few weeks	4) 数週間、心の中のスパムフィルターを調整する
After a breach disclosure, attackers often strike while the story is fresh. For the next month or so:	情報漏洩の発覚後、攻撃者はしばしばその情報が新鮮なうちに攻撃を仕掛けます。その後1ヶ月ほどは、以下のような状況です。
Be skeptical of messages that mention Substack, newsletters, “verification,” or “security.”	Substack、ニュースレター、「検証」、または「セキュリティ」について言及しているメッセージには疑いを持ってください。
Don’t click login links from emails/texts. Instead, type the domain yourself or use a bookmark.	メールやテキストメッセージ内のログインリンクをクリックしないでください。代わりに、ドメインを自分で入力するか、ブックマークを使用してください。
Be wary of urgent requests for one-time codes. No legitimate company support should ask for your 2FA codes.	緊急のワンタイムコードの要求には注意してください。正規の企業サポートが2FAコードを要求することはありません。
CISA’s guidance is blunt for a reason: the easiest way to avoid being phished is to assume any unsolicited request could be hostile until you independently verify it.	CISA のガイダンスが率直なのはある理由があります。フィッシング詐欺を回避する最も簡単な方法は、独自に検証するまで、一方的なリクエストは悪意のあるものである可能性があると想定することです。
5) If you’re a Substack writer: consider your audience-facing risk	5) Substackのライターの場合：読者に直面するリスクを考慮する
Creators have an extra threat: impersonation. If attackers can convincingly spoof your Substack-related identity, they may target your subscribers with “special offers,” crypto scams, or fake fundraising links.	クリエイターには、なりすましという新たな脅威が存在します。攻撃者がSubstack関連のあなたのIDを巧妙に偽装できれば、「特別オファー」や暗号通貨詐欺、偽の資金調達リンクなどで登録者を狙う可能性があります。
Consider posting a short note to your subscribers: you will never ask for passwords, one-time codes, or payment details over email.	購読者に対して短いメモを投稿することを検討してください。メールでパスワード、ワンタイムコード、または支払いの詳細を尋ねることは決してありません。
What a good company response looks like (beyond an apology)	企業としての良い対応とは（謝罪を超えて）
Substack’s message includes a fix and an investigation. That’s necessary, but the best breach responses are also	Substackのメッセージには、修正と調査が含まれています。これは必要ですが、侵害に対する最善の対応は
specific
. The FTC’s guidance for businesses emphasizes securing operations, fixing vulnerabilities, and communicating clearly without misleading omissions. In consumer terms, “clear” means:	FTCの企業向けガイダンスでは、業務の安全性確保、脆弱性の修正、そして誤解を招くような省略のない明確なコミュニケーションを重視しています。消費者にとっての「明確」とは、以下のことを意味します。
Exactly what data fields were accessed (email, phone, name, address, IP logs, subscriber lists, DMs, etc.)	アクセスされたデータフィールドの正確な内容 (電子メール、電話、名前、住所、IP ログ、購読者リスト、DM など)
How many accounts were affected, even as a range	影響を受けたアカウントの数（範囲は問わない）
What users can do that meaningfully reduces risk (2FA, password manager, watch for smishing)	ユーザーがリスクを大幅に軽減するためにできること（2FA、パスワードマネージャー、スミッシングへの注意）
How the incident happened at a high level (e.g., exposed credential, vulnerable endpoint, misconfiguration) once it’s safe to disclose	安全に開示できるようになった時点で、インシデントがどのように発生したか（例：資格情報の漏洩、脆弱なエンドポイント、構成ミス）の概要
What indicators of compromise exist (were there suspicious logins? can users view recent sessions?)	どのような侵害の兆候が存在するか (不審なログインがあったか? ユーザーは最近のセッションを表示できるか?)
Companies sometimes avoid details because they don’t want to aid copycat attackers or because investigations are ongoing. But withholding too much leaves users guessing — and guessing tends to produce either panic or complacency.	企業は、模倣犯を助けたくない、あるいは捜査が進行中であるという理由で、詳細を明かさないことがあります。しかし、あまりに多くの情報を伏せすぎると、ユーザーは推測するしかなく、その推測はパニックや油断を生む傾向があります。
Why “internal metadata” matters more than it sounds	「内部メタデータ」が想像以上に重要な理由
In many breaches, the most damaging information isn’t the obvious fields. “Internal metadata” can be things like:	多くの侵害において、最も損害を与える情報は明白なフィールドではありません。「内部メタデータ」とは、次のようなものを指します。
Account creation date and last login time	アカウント作成日と最終ログイン時間
Whether an email is verified	メールが検証されているかどうか
Newsletter ownership or subscriber counts	ニュースレターの所有権または購読者数
Phone verification status
Support ticket history
Each of these helps an attacker craft a message that feels real. If a text says “Your Substack account created in 2021 needs re-verification,” and that’s true, the target is more likely to comply. That’s why transparency about what metadata was exposed is not a nerdy detail — it’s directly tied to how convincing the next wave of scams will be.	これらはどれも、攻撃者が本物らしく感じられるメッセージを作成するのに役立ちます。「2021年に作成されたSubstackアカウントは再認証が必要です」というメッセージが実際にあった場合、標的はそれに従う可能性が高くなります。だからこそ、漏洩したメタデータの透明性は、単なるオタク的な詳細ではなく、次の一連の詐欺がどれほど説得力を持つかに直接関係しているのです。
What you should not do
Three common mistakes after a breach disclosure:	侵害開示後のよくある3つの間違い:
Don’t reply to random “security” texts. You’re validating your number and inviting more contact.	ランダムな「セキュリティ」メッセージには返信しないでください。自分の電話番号を認証し、さらなる連絡を誘っていることになります。
Don’t install “support” apps because someone called you. If you need help, initiate contact through official channels you look up yourself.	誰かに電話されたからといって、「サポート」アプリをインストールしないでください。助けが必要な場合は、自分で調べた公式のチャネルから連絡を取りましょう。
Don’t assume you’re safe because you didn’t get an email. Notifications can be staged, incomplete, or limited by contact details on file. Treat this as a general warning sign, not a personal all-clear.	メールが届かないからといって、安全だと決めつけないでください。通知は段階的であったり、不完全であったり、登録されている連絡先情報によって制限されている場合があります。これは一般的な警告サインであり、個人的な安全を意味するものではありません。
The bigger lesson: contact data is now “sensitive” data	より大きな教訓：連絡先データは今や「機密」データである
We tend to rank data by whether it can directly drain a bank account. But the modern scam economy often works indirectly: leak identifiers, phish credentials, take over an email, reset other accounts, monetize access. Email addresses and phone numbers are the first rung of that ladder.	私たちは、データを直接銀行口座から引き出せるかどうかでランク付けする傾向があります。しかし、現代の詐欺経済は、多くの場合、間接的に作用します。IDの漏洩、認証情報のフィッシング、メールの乗っ取り、他のアカウントのリセット、アクセスによる収益化などです。メールアドレスと電話番号は、その階段の最初の段です。
For platforms, this means that protecting contact data requires the same seriousness as protecting passwords — not because the fields are equivalent, but because attackers can turn them into leverage.	プラットフォームにとって、これは連絡先データの保護にはパスワードの保護と同じ厳しさが求められることを意味します。これはフィールドが同等だからではなく、攻撃者がそれを悪用する可能性があるためです。
For users, it’s a reminder that the best defense isn’t perfect secrecy (breaches happen), it’s resilience: unique passwords, strong 2FA, and habits that make phishing unprofitable.	ユーザーにとって、これは、最善の防御は完全な秘密保持ではなく (侵害は起こる)、回復力、つまり固有のパスワード、強力な 2FA、フィッシングを不利益にする習慣であるということを思い出させるものです。
Bottom line
A leak of emails and phone numbers may sound “limited,” but it can still meaningfully increase your exposure to targeted phishing, smishing, and account takeover attempts elsewhere. Treat Substack’s notice as a prompt to harden the two systems that matter most: your email account and your login hygiene.	メールアドレスや電話番号の漏洩は「限定的」に聞こえるかもしれませんが、標的型フィッシング、スミッシング、アカウント乗っ取りなどの攻撃を受けるリスクを大幅に高める可能性があります。Substackからの通知を、最も重要な2つのシステム、つまりメールアカウントとログインのセキュリティ強化を促すきっかけとして捉えてください。
And if you see a sudden spike in “Substack security” messages, assume the incident has created a new scam wave — and don’t click first, verify first.	また、「Substack セキュリティ」のメッセージが急増した場合は、この事件が新たな詐欺の波を引き起こしたと想定し、まずクリックするのではなく、まず確認してください。
Sources
https://www.theverge.com/tech/874255/substack-data-breach-user-emails-phone-numbers	https://www.theverge.com/tech/874255/substack-data-breach-user-emails-phone-numbers
https://lorichristian.substack.com/p/notice-of-data-breach	https://lorichristian.substack.com/p/データ侵害の通知
https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks	https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks
https://www.ftc.gov/business-guidance/resources/data-breach-response-guide-business	https://www.ftc.gov/business-guidance/resources/data-breach-response-guide-business
←
Previous Post
Next Post
→
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin	管理者によるすべての投稿を表示
SpaceX buys xAI: what Musk’s ‘super company’ means for AI, Starlink, and space-based data centers	SpaceXがxAIを買収：マスク氏の「スーパーカンパニー」がAI、スターリンク、宇宙ベースのデータセンターにもたらす影響
Why the yacht industry is trying to quit teak — and what could replace it	ヨット業界がチーク材の使用をやめようとしている理由と、その代替となるもの
A Substack incident exposed some users' email addresses and phone numbers. Here's why that still matters, the real risks (phishing, smishing, SIM swap), and a practical checklist.	Substackのインシデントにより、一部ユーザーのメールアドレスと電話番号が流出しました。これが依然として重要な理由、実際のリスク（フィッシング、スミッシング、SIMスワップ）、そして実用的なチェックリストをご紹介します。

Document Title

Substack data breach: why email-and-phone leaks matter (and what to do next)

A Substack incident exposed some users' email addresses and phone numbers. Here's why that still matters, the real risks (phishing, smishing, SIM swap), and a practical checklist.

Title Attribute

oEmbed (JSON)

oEmbed (XML)

JSON

View all posts by Admin

SpaceX buys xAI: what Musk’s ‘super company’ means for AI, Starlink, and space-based data centers

Why the yacht industry is trying to quit teak — and what could replace it

Page Content

Substack data breach: why email-and-phone leaks matter (and what to do next)

Nature

Climate

General

/ By

Admin

When a company says “only emails and phone numbers were exposed,” it’s easy to shrug. No passwords, no credit cards — so what’s the harm?

In reality, email addresses and phone numbers are two of the most powerful

join keys

in the modern internet. They’re the identifiers that let attackers connect your presence across services, target you with convincing phishing and smishing, and in some cases attempt account takeovers through password resets or SIM swap–style social engineering. A leak of contact info isn’t the same as a leak of bank details, but it can be the first domino that makes other attacks cheaper and more likely to succeed.

This week, Substack began notifying some account holders that a security incident allowed an unauthorized party to access limited user data — including email addresses and phone numbers — with Substack saying the access occurred in October 2025 and was discovered and investigated in early February 2026. Substack’s CEO apologized and said that passwords and financial information were not accessed.

Let’s unpack what “limited user data” can still enable, what users should do (in order of impact), and what a good platform response looks like when the leaked fields are “just” contact details.

What Substack says happened (and what’s still unknown)

According to Substack’s notification message shared publicly and reported by

The Verge

, the company identified evidence of an issue that allowed an unauthorized third party to access limited user data without permission, including email addresses, phone numbers, and internal metadata. Substack says it fixed the problem and is conducting a full investigation, and that credit card numbers, passwords, and financial information were not accessed.

Two parts of that statement matter for understanding risk:

Timing:

access occurred months earlier (October 2025) but was identified later. That gap can affect how long an attacker had to explore systems or exfiltrate data.

Scope uncertainty:

the company did not publicly specify how many users were affected, what “internal metadata” includes, or whether any account state (like login history, device fingerprints, or subscriber lists) was exposed.

Those unknowns don’t automatically mean the worst. But they do mean users should assume that their email and phone number may be in the hands of someone who is willing to exploit them — and that their online accounts that use those identifiers may see an uptick in targeted scams.

Why email + phone is a high-value leak even without passwords

Email addresses and phone numbers are special because they’re used for three critical jobs:

Identity:

they’re the handle many services use as your username.

Recovery:

they’re the channels used to reset passwords.

Reach:

they’re how scammers can contact you cheaply at scale (email) or with high urgency and credibility (SMS/phone).

Once an attacker has your email and phone, they can do more than send generic spam. They can tailor messages that reference the breached service, create pressure (“your account will be suspended”), and funnel you into a fake login page or a fake “verify your phone” flow. The goal isn’t necessarily to break into Substack; it’s to break into whatever else you use that shares the same contact info.

This is why agencies like CISA emphasize skepticism toward unsolicited messages, especially those that attempt to create urgency, request personal information, or push you to click a link. Phishing and its SMS variant (“smishing”) are often the cheapest way for an attacker to turn leaked contact info into money or access.

The practical risks for Substack users

Here are the most likely follow-on threats after a contact-info leak, and how they show up in real life.

1) Phishing emails that look like Substack

Expect emails that claim you need to “confirm your password,” “re-verify your payout details,” or “avoid losing access.” They may include official-looking logos and plausible sender names. The trick is usually in the domain (a lookalike URL) or in a link that goes somewhere other than

substack.com

What makes this worse: if attackers also have “internal metadata,” they may know whether you’re a writer vs. a reader, or what newsletters you subscribe to, and can make messages more convincing.

2) Smishing and vishing (texts and calls)

Leaked phone numbers invite a different style of scam: short, urgent texts and calls that exploit the fact that people tend to trust phone communications more than email. CISA notes that attackers can combine voice and text (“vishing” and “smishing”) with spoofed caller ID, pushing victims to disclose sensitive information or install “support” software.

A typical smish might say: “Substack Security: unusual login detected. Reply YES to lock your account.” If you reply, you’ve confirmed the number is active — and you’re engaged.

3) Account takeover attempts via password reset elsewhere

If you reuse passwords (or use weak ones), contact info becomes a way in. Even if your password wasn’t leaked from Substack, an attacker can attempt password resets on other sites that use your email or phone number. They don’t need the old password if they can convince you to hand over a code, or if they can compromise your email account.

This is why the “real crown jewels” are usually your email inbox and your mobile number: control either of those, and an attacker can often pivot into many other accounts.

4) SIM swap / number-port fraud attempts

SIM swapping isn’t new, but a dataset that ties phone numbers to a specific online service can help attackers pick targets. Many mobile carriers have improved defenses, but social engineering remains a risk, especially if an attacker can gather additional context from other sources.

If you rely on SMS for two-factor authentication (2FA) on important accounts, a SIM swap is one of the scariest outcomes. That’s not a reason to panic — it’s a reason to reduce dependence on SMS for critical logins where you have better options.

What you should do now (highest impact first)

Substack’s notification encourages extra caution around suspicious emails or texts. That’s good advice, but it’s vague. Here’s a more concrete, prioritized checklist that most people can execute in 15–30 minutes.

1) Lock down your primary email account

Your email inbox is the master key for password resets. If you do only one thing, do this:

Turn on

two-factor authentication

for your email provider (prefer an authenticator app or hardware key).

Review

account recovery options

(backup email/phone) and remove anything you don’t control.

Change your email password if it’s reused anywhere else.

If you’re a writer who uses Substack professionally, treat your email security like you treat your bank: it’s infrastructure.

2) Change your Substack password (and stop reusing passwords)

Even if Substack says passwords weren’t accessed, changing your password is cheap insurance — especially if you’ve used the same password on other sites. Use a unique, long password generated by a password manager.

If Substack supports passkeys or stronger login options, consider enabling them. The long-term goal is to make phishing less effective by reducing reliance on shared secrets you can type into a fake website.

3) Enable stronger 2FA where it matters most

On your most important accounts (email, banking, cloud storage, social media handles that can be used for scams), prefer:

Authenticator app (TOTP) over SMS

Hardware security keys (best, when available)

Passkeys (increasingly strong against phishing, depending on implementation)

SMS-based 2FA is better than nothing, but it’s vulnerable to number-port attacks and targeted social engineering. If you’re a public-facing creator, it’s worth upgrading.

4) Adjust your mental spam filter for a few weeks

After a breach disclosure, attackers often strike while the story is fresh. For the next month or so:

Be skeptical of messages that mention Substack, newsletters, “verification,” or “security.”

Don’t click login links from emails/texts. Instead, type the domain yourself or use a bookmark.

Be wary of urgent requests for one-time codes. No legitimate company support should ask for your 2FA codes.

CISA’s guidance is blunt for a reason: the easiest way to avoid being phished is to assume any unsolicited request could be hostile until you independently verify it.

5) If you’re a Substack writer: consider your audience-facing risk

Creators have an extra threat: impersonation. If attackers can convincingly spoof your Substack-related identity, they may target your subscribers with “special offers,” crypto scams, or fake fundraising links.

Consider posting a short note to your subscribers: you will never ask for passwords, one-time codes, or payment details over email.

What a good company response looks like (beyond an apology)

Substack’s message includes a fix and an investigation. That’s necessary, but the best breach responses are also

specific

. The FTC’s guidance for businesses emphasizes securing operations, fixing vulnerabilities, and communicating clearly without misleading omissions. In consumer terms, “clear” means:

Exactly what data fields were accessed (email, phone, name, address, IP logs, subscriber lists, DMs, etc.)

How many accounts were affected, even as a range

What users can do that meaningfully reduces risk (2FA, password manager, watch for smishing)

How the incident happened at a high level (e.g., exposed credential, vulnerable endpoint, misconfiguration) once it’s safe to disclose

What indicators of compromise exist (were there suspicious logins? can users view recent sessions?)

Companies sometimes avoid details because they don’t want to aid copycat attackers or because investigations are ongoing. But withholding too much leaves users guessing — and guessing tends to produce either panic or complacency.

Why “internal metadata” matters more than it sounds

In many breaches, the most damaging information isn’t the obvious fields. “Internal metadata” can be things like:

Account creation date and last login time

Whether an email is verified

Newsletter ownership or subscriber counts

Phone verification status

Support ticket history

Each of these helps an attacker craft a message that feels real. If a text says “Your Substack account created in 2021 needs re-verification,” and that’s true, the target is more likely to comply. That’s why transparency about what metadata was exposed is not a nerdy detail — it’s directly tied to how convincing the next wave of scams will be.

What you should not do

Three common mistakes after a breach disclosure:

Don’t reply to random “security” texts. You’re validating your number and inviting more contact.

Don’t install “support” apps because someone called you. If you need help, initiate contact through official channels you look up yourself.

Don’t assume you’re safe because you didn’t get an email. Notifications can be staged, incomplete, or limited by contact details on file. Treat this as a general warning sign, not a personal all-clear.

The bigger lesson: contact data is now “sensitive” data

We tend to rank data by whether it can directly drain a bank account. But the modern scam economy often works indirectly: leak identifiers, phish credentials, take over an email, reset other accounts, monetize access. Email addresses and phone numbers are the first rung of that ladder.

For platforms, this means that protecting contact data requires the same seriousness as protecting passwords — not because the fields are equivalent, but because attackers can turn them into leverage.

For users, it’s a reminder that the best defense isn’t perfect secrecy (breaches happen), it’s resilience: unique passwords, strong 2FA, and habits that make phishing unprofitable.

Bottom line

A leak of emails and phone numbers may sound “limited,” but it can still meaningfully increase your exposure to targeted phishing, smishing, and account takeover attempts elsewhere. Treat Substack’s notice as a prompt to harden the two systems that matter most: your email account and your login hygiene.

And if you see a sudden spike in “Substack security” messages, assume the incident has created a new scam wave — and don’t click first, verify first.

Sources

https://www.theverge.com/tech/874255/substack-data-breach-user-emails-phone-numbers

https://lorichristian.substack.com/p/notice-of-data-breach

https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks

https://www.ftc.gov/business-guidance/resources/data-breach-response-guide-business

←

→

oEmbed (JSON)

oEmbed (XML)

JSON

View all posts by Admin

SpaceX buys xAI: what Musk’s ‘super company’ means for AI, Starlink, and space-based data centers

Why the yacht industry is trying to quit teak — and what could replace it

A Substack incident exposed some users' email addresses and phone numbers. Here's why that still matters, the real risks (phishing, smishing, SIM swap), and a practical checklist.

Document Title
Page not found - Florin.blog	ページが見つかりません - Florin.blog
Image Alt
Florin.blog
Title Attribute
Florin.blog » Feed
RSD
Skip to content
Placeholder Attribute
Search...
Page Content
Page not found - Florin.blog	ページが見つかりません - Florin.blog
Skip to content
Home
Blog
Garden Decor	ガーデンデコレーション
Indoor
Main Menu
This page doesn't seem to exist.	このページは存在しないようです。
It looks like the link pointing here was faulty. Maybe try searching?	ここへのリンクに問題があるようです。検索してみてください
Search for:
Search
Quick Links
Outdoors
About
Contact
Explore
Bestsellers
Hot deals
Best of The Year
Featured
Gift Cards
Help
Privacy Policy
Disclaimer
: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.	Amazonアソシエイトとして、当社は対象となる購入から報酬を得ています。お客様に追加料金はかかりません
Florin.blog
Florin.blog » Feed
RSD
Search...

Document Title

Page not found - Florin.blog

Image Alt

Florin.blog

Title Attribute

Florin.blog » Feed

RSD

Placeholder Attribute

Search...

Page Content

Page not found - Florin.blog

Home

Blog

Garden Decor

Indoor

Main Menu

This page doesn't seem to exist.

It looks like the link pointing here was faulty. Maybe try searching?

Search for:

Quick Links

Outdoors

About

Contact

Explore

Bestsellers

Hot deals

Best of The Year

Featured

Gift Cards

Help

Disclaimer

: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.

Florin.blog

Florin.blog » Feed

RSD

Search...