Substack מודיעה למשתמשים: צד שלישי ניגש לכתובות מייל ולמספרי טלפון
ב-5 בפברואר 2026 שלחה Substack הודעה על פריצה מאוקטובר 2025. לדברי המנכ״ל, סיסמאות ופרטי אשראי לא נחשפו. האקר טוען שהוא מחזיק כ-700 אלף רשומות, וזה לא אומת.
TL;DR בקצרה
- Substack שלחה ב-5 בפברואר 2026 הודעה למשתמשים: צד שלישי ניגש לכתובות מייל, למספרי טלפון ולמטא-דאטה פנימי באוקטובר 2025.
- החברה אומרת שזיהתה את הבעיה ב-3 בפברואר, שתיקנה אותה ושסיסמאות, פרטי אשראי ומידע פיננסי לא נחשפו.
- Substack לא פירטה את היקף הפגיעה. האקר העלה לפורום מאגר של 697,313 רשומות, ו-BleepingComputer לא אימתה את הטענה.
- למידע כזה יש שימוש בפישינג, בהנדסה חברתית וב-SIM swap, ולכן כדאי להתייחס בחשדנות להודעות שמגיעות בשם Substack.
Substack שלחה ב-5 בפברואר 2026 הודעה למשתמשים על פריצה: צד שלישי ניגש לכתובות מייל, למספרי טלפון ולמטא-דאטה פנימי. לדברי המנכ״ל כריס בסט, החברה זיהתה את הבעיה ב-3 בפברואר. הגישה עצמה קרתה באוקטובר 2025, ארבעה חודשים לפני כן.
Substack היא פלטפורמה לניוזלטרים ולמנויים בתשלום. לפי BleepingComputer, היא הגיעה לחמישה מיליון מנויים בתשלום במרץ 2025. Substack שלחה את ההודעה במייל לחלק מהמשתמשים. לפי CSO Online, נכון למועד הפרסום לא הייתה הודעה ציבורית באתר.
הפריצה ל-Substack: מה החברה מאשרת
בסט מציין שצד שלישי ללא הרשאה ניגש למידע מוגבל על משתמשים. המידע כולל כתובות מייל, מספרי טלפון ומטא-דאטה פנימי נוסף. הוא מדגיש שמספרי כרטיסי אשראי, סיסמאות ומידע פיננסי לא נחשפו.
החברה מוסיפה שתיקנה את הכשל שאיפשר את הגישה. היא מנהלת חקירה מלאה ומשפרת את המערכות. לדבריה, אין לה ראיות לשימוש לרעה במידע.
עם זאת, כמה שאלות נשארו פתוחות. Substack לא פירטה את היקף הפגיעה. היא גם לא הסבירה איך התוקף נכנס, ולא למה הגילוי לקח כארבעה חודשים. נציג החברה אמר ל-Infosecurity Magazine שאין באפשרותו לפרט את תהליכי האבטחה.
מה טוען ההאקר, ומה לא אומת
לפי BleepingComputer, תוקף פרסם ב-2 בפברואר מאגר בפורום BreachForums. לדבריו יש בו 697,313 רשומות. הוא טען שאסף את הנתונים בסריקה. לדבריו השיטה רועשת, והחברה סגרה אותה מהר.
SecurityWeek מוסיפה שהמאגר כולל לפי הטענה שמות, כתובות מייל, מספרי טלפון, תמונות פרופיל, מזהי משתמש וביוגרפיות. The Record מציינת שבין השדות גם מזהי Stripe. אף אחד מהמקורות לא אימת את הטענות, ולכן אין לדעת אם הנתונים אמיתיים.
הציר הזמן קצר. לפי BleepingComputer, המאגר הופיע ב-2 בפברואר. החברה זיהתה בעיה יום אחר כך, והודיעה למשתמשים ב-5 בפברואר.
למה מייל וטלפון מ-Substack כבר מספיקים לתוקפים
ג׳וואד מליק מ-KnowBe4 אמר ל-Infosecurity Magazine שההודעה דלה בפרטים. לדבריו, כתובת מייל ומספר טלפון מאפשרים פישינג, ניסיונות SIM swap וחשיפת זהות. הוא כינה את הפער מאוקטובר ועד ההודעה זמן שהות משמעותי של התוקף ברשת.
SIM swap הוא ניסיון להעביר את מספר הטלפון שלכם לכרטיס SIM של התוקף. אז הוא מקבל את קודי האימות שמגיעים ב-SMS. לכן מספר טלפון שדלף הוא נקודת התחלה שימושית עבורו.
CSO Online מציינת שהכניסה הרגילה ל-Substack נעשית בקישור שנשלח למייל, ולכן אין סיסמה לגנוב ברוב המקרים. עם זאת, לפי הכתבה, משתמשים שנרשמו לפני 2023 עשויים להחזיק סיסמה. Substack לא אמרה אם עליהם להחליף אותה.
מה זה אומר עבורכם
- חשדו בהודעות בשם Substack: אל תלחצו על קישורים ב-SMS או במייל שמבקשים לאמת חשבון. היכנסו לאתר ישירות.
- אל תמסרו קודים: גם אם מתקשר יודע את הטלפון והמייל שלכם, אל תאשרו קוד אימות. זו שיטה מוכרת של הנדסה חברתית.
- הגנו על המספר: שאלו את חברת הסלולר איך מוסיפים נעילה או קוד סודי. כך קשה להעביר את המספר ל-SIM אחר.
- אם יש לכם סיסמה: החליפו אותה, ואל תשתמשו בה באתר אחר. הפעילו אימות דו-שלבי אם האפשרות קיימת בחשבון.
- מי שמפרסמים ב-Substack: עקבו אחרי הודעות על תשלומים ועל חשבון Stripe. התייחסו בחשדנות לפניות שמזכירות את הקוראים שלכם.
- רוצים להבין את התרחיש? ההסבר של CyberGuard על SIM Swap.
מה הלאה
Substack אומרת שהחקירה נמשכת. עד שתפרסם פרטים, כדאי להניח שהמייל והטלפון שלכם עשויים להיות בידי גורמים לא רצויים.
אם Substack תפרסם את מספר הנפגעים או את אופן הכניסה, זה ישנה את התמונה. עד אז כל מספר מהמאגר של ההאקר נשאר טענה בלבד.
מקורות והרחבה
- Newsletter platform Substack notifies users of data breachBleepingComputer
- Substack data breach notificationThe Record
- Substack discloses security incident after hacker leaks dataSecurityWeek
- Substack data breach leaks users' email addresses and phone numbersCSO Online
- Substack confirms data breach, limited user data compromisedInfosecurity Magazine
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
