697 313 enregistrements de Substack exposés dans la fuite de données

Le 3 février 2026, Substack — la plateforme américaine de newsletters et de publication en ligne — a identifié une fuite de données après l'apparition d'un jeu de données de ses utilisateurs sur un forum de piratage public. L'exposition remonte à une intrusion survenue en octobre 2025, lorsqu'un tiers non autorisé a accédé aux systèmes de Substack et collecté des données d'utilisateurs, vraisemblablement via une attaque par extraction (scraping) ciblant l'API de la plateforme. La faille a depuis été corrigée.

Un acteur malveillant utilisant le pseudonyme « w1kkid » a publié les données sur BreachForums, en téléversant un fichier CSV contenant environ 697 313 enregistrements d'utilisateurs. Substack a notifié officiellement les utilisateurs concernés le 6 février 2026, son PDG Chris Best présentant ses excuses pour l'incident et pour le délai d'environ cinq mois entre la compromission et sa découverte.

Les données exposées comprenaient :

• Noms et adresses e-mail
• Numéros de téléphone
• Identifiants utilisateur et identifiants Stripe (utilisés par les créateurs payants)
• Photos de profil et biographies
• Dates de création de compte et identifiants de réseaux sociaux

Substack a confirmé que les mots de passe, numéros de carte bancaire et autres informations financières n'avaient pas été compromis. L'entreprise a indiqué avoir corrigé le problème sous-jacent et ouvert une enquête ; l'incident est considéré comme maîtrisé.