Vous recevez une alerte de sécurité ou un message inattendu qui évoque Substack et vos coordonnées ?

Verdict — adapté si vous cherchez à limiter les risques sans réagir dans la précipitation. Vérifiez d’abord la notification depuis un accès officiel que vous connaissez, sécurisez les comptes exposés et méfiez-vous des messages qui exploitent l’incident. Une adresse e-mail révélée ne signifie pas, à elle seule, que votre boîte est compromise ni qu’il faut abandonner votre adresse principale.

Cet article s’adresse aux abonnés qui ont reçu une notification de sécurité et veulent vérifier leur compte.
Il aide aussi les personnes qui reçoivent des courriels ou des textos suspects faisant référence à Substack.
Si vous souhaitez réduire l’exposition de votre adresse principale lors de prochaines inscriptions, vous trouverez une méthode de séparation par niveau de confiance.

Dernière mise à jour : 20 octobre 2026. Vérification des informations disponibles à partir du compte rendu publié par TechCrunch le 5 février 2026 et des ressources de sécurité citées dans l’article. Consultez également toute notification ou annonce officielle ultérieure de Substack : elle prévaut sur un compte rendu de presse.

Fuite de données Substack 2026 : faits rapportés et éléments inconnus

Le compte rendu de presse daté du 5 février 2026 indique que l’incident concernait des adresses e-mail, des numéros de téléphone et des métadonnées internes qui n’étaient pas décrites en détail. Il rapporte aussi que les mots de passe et les informations de paiement ne faisaient pas partie des données concernées. Ces éléments sont à comprendre comme le périmètre décrit dans l’article, et non comme une preuve que chaque abonné a été touché ou que toutes les données possibles ont été examinées publiquement.

La distinction importe pour choisir la bonne réponse : une coordonnée exposée peut attirer des tentatives d’hameçonnage ou des sollicitations indésirables, mais elle ne prouve pas que quelqu’un a pris le contrôle de votre boîte. En l’absence d’une précision officielle consultable, ne transformez pas une information manquante en certitude.

Élément Ce que rapporte l’article de presse Ce qu’il ne permet pas de conclure
Adresse e-mail et numéro de téléphone Ces types de coordonnées sont mentionnés dans le périmètre rapporté. Que les coordonnées de chaque utilisateur ont été exposées.
Métadonnées internes Des métadonnées sont citées sans description détaillée. Leur contenu exact, leur sensibilité ou leur utilisation.
Mots de passe et informations de paiement L’article indique qu’ils ne faisaient pas partie du périmètre rapporté. Que ces données sont impossibles à obtenir par une autre voie, ou qu’un compte donné est forcément intact.
Volume de données et usage ultérieur L’article ne fournit pas ici de confirmation permettant de les établir. Le nombre de personnes touchées, l’identité de l’auteur ou l’usage des données.

Pour vos décisions, retenez donc une règle simple : agissez sur ce qui est documenté, mais ne payez pas le coût d’une migration générale de vos comptes sur la base d’une supposition. Si Substack vous a adressé une notification personnelle, lisez-la en entier et vérifiez si elle précise un risque propre à votre compte. En cas de divergence, suivez l’information officielle la plus récente plutôt qu’une interprétation relayée par un tiers.

À la réception de l’alerte : vérification et premières précautions

Comment vérifier qu’une notification de Substack est authentique ?

Ne commencez pas par le bouton « Vérifier mon compte » contenu dans le message. Ouvrez plutôt un favori déjà enregistré ou saisissez vous-même l’adresse de l’accès officiel que vous utilisez habituellement, puis recherchez une notification ou une annonce depuis cet espace. Si vous ne trouvez rien, cela ne suffit pas à prouver que le message est frauduleux : vérifiez par un canal officiel indépendant avant de fournir des informations.

Examinez ensuite l’adresse complète de l’expéditeur, pas uniquement le nom affiché. Celui-ci peut être imité. Sur ordinateur, survolez un lien sans cliquer pour afficher sa destination ; sur téléphone, maintenez-le appuyé seulement si votre appareil permet d’en consulter l’adresse sans l’ouvrir. Comparez le domaine du lien avec celui que vous avez saisi vous-même. Une adresse ressemblante, un raccourcisseur inattendu ou un domaine sans rapport justifie de fermer le message et de vérifier séparément.

Un message alarmant qui exige une action immédiate n’est pas automatiquement faux, mais l’urgence ne constitue jamais une preuve d’authenticité. Ne transmettez pas de mot de passe, de code de connexion, de coordonnées bancaires ou de copie de pièce d’identité en réponse à une demande reçue par courriel ou par texto. Les recommandations de la FTC pour repérer les tentatives d’hameçonnage conseillent également de vérifier la demande par un moyen connu plutôt que de suivre les instructions du message suspect.

Si vous avez déjà ouvert un lien, ne concluez pas immédiatement que votre compte est compromis. Le risque augmente surtout si vous avez saisi des identifiants, communiqué un code ou installé un fichier : notez précisément ce que vous avez fait et traitez cette action en priorité.

À faire juste après la réception

  • [ ] Accédez à votre compte par une adresse ou un favori que vous connaissez déjà, jamais par un lien d’alerte non vérifié.
  • [ ] Lisez la notification officielle et notez ce qu’elle confirme pour votre compte, sans extrapoler à partir d’un message tiers.
  • [ ] Vérifiez si vous pouvez encore vous connecter et si des paramètres, coordonnées ou activités vous semblent inhabituels.
  • [ ] Refusez toute demande inattendue de mot de passe, de code de validation ou de paiement.
  • [ ] Si vous avez communiqué un secret ou constaté une anomalie, sécurisez d’abord le compte concerné et suivez les consignes officielles de récupération.

Cette liste vous donne un ordre d’action, pas un diagnostic à distance. Par exemple, si vous avez reçu un texto qui évoque l’incident mais n’avez ni cliqué ni répondu, la mesure raisonnable consiste à le signaler ou à le supprimer après vérification ; il n’est pas nécessaire de changer tous vos mots de passe uniquement parce que le message existe.

Le jour même : comptes, mots de passe et accès à la messagerie

Si vous utilisez un mot de passe unique pour Substack et que vous ne voyez aucune activité suspecte, ne le remplacez pas par un mot de passe déjà employé ailleurs. Si, en revanche, vous avez réutilisé ce mot de passe sur d’autres services, remplacez-le sur chacun de ces comptes, en commençant par votre messagerie principale et les comptes qui permettent de réinitialiser d’autres accès. Une fuite d’adresse ne révèle pas automatiquement un mot de passe ; la réutilisation crée toutefois un risque distinct, parce qu’un secret découvert dans un contexte peut être tenté ailleurs.

Procédez service par service, depuis les applications ou sites ouverts indépendamment. Créez un secret différent pour chaque compte et rangez-le dans un gestionnaire fiable si vous en utilisez un. Ne partagez pas un code temporaire avec une personne qui vous appelle ou vous écrit en se présentant comme une équipe de sécurité. Si vous ne parvenez plus à accéder à votre messagerie, utilisez les instructions de récupération de votre fournisseur : la fiche de la FTC sur la récupération d’un compte de messagerie ou de réseau social piraté décrit les premières démarches à envisager.

Activez une authentification multifacteur lorsqu’elle est disponible et configurez-la depuis les paramètres officiels du compte. Substack explique le fonctionnement de la double authentification dans son centre d’assistance, tandis que la CISA présente l’intérêt des facteurs supplémentaires pour réduire le risque qu’un mot de passe seul suffise à accéder à un compte. Cette protection ne remplace pas un mot de passe distinct et ne vous autorise pas à communiquer un code à un tiers.

Situation observée Action à privilégier Ce qui serait disproportionné
Notification non vérifiée, aucun accès suspect Vérifier l’annonce depuis un canal officiel et surveiller les messages reçus. Supprimer immédiatement votre adresse principale.
Mot de passe réutilisé sur plusieurs comptes Remplacer ce mot de passe sur les services concernés et activer la protection multifacteur disponible. Changer uniquement le mot de passe de Substack en laissant les autres comptes avec le même secret.
Connexion, modification ou récupération inattendue Suivre la procédure officielle de sécurisation et vérifier aussi l’accès à la boîte principale. Répondre à un message non vérifié avec vos codes ou pièces justificatives.
Boîte principale inaccessible ou compromise Traiter la récupération de cette boîte comme une priorité, car elle peut servir à réinitialiser d’autres accès. Considérer le simple changement d’adresse comme une réparation suffisante.

Pour suivre les comptes qui servent à récupérer vos accès, un plan d’adresses de récupération distinctes peut aider à séparer les fonctions et à repérer plus clairement une tentative visant une adresse particulière. Il ne remplace toutefois ni la protection multifacteur ni la récupération officielle d’un compte déjà compromis.

Dans les jours suivants : vigilance face aux messages opportunistes

Comment traiter un message qui évoque la fuite Substack ?

Les escrocs peuvent s’appuyer sur un événement réel pour rendre une demande crédible. Un message peut citer le nom du service, reprendre des détails publics ou inclure votre numéro de téléphone sans être authentique. La correspondance entre le sujet du message et une actualité réelle ne valide ni son expéditeur ni son lien.

Pour chaque courriel ou texto inattendu, vérifiez séparément plusieurs signaux : l’adresse complète de l’expéditeur, le domaine réel de chaque lien, la présence d’une pièce jointe inattendue, la demande d’un code ou d’un mot de passe, et toute exigence de connexion inhabituelle. Méfiez-vous aussi d’une menace de fermeture immédiate, d’une demande de paiement pour « protéger » votre compte ou d’une invitation à installer un outil. Ne prévisualisez pas une pièce jointe douteuse et ne répondez pas pour demander si le message est légitime : une réponse confirme que votre adresse ou votre numéro est actif.

Le guide de la FTC consacré aux courriels et textos d’hameçonnage recommande de ne pas utiliser les coordonnées fournies dans un message suspect pour vérifier sa demande. Si vous avez entré un mot de passe sur une fausse page, changez-le depuis le véritable service et partout où vous l’avez réutilisé. Si vous avez transmis un code, contrôlez immédiatement les sessions et les moyens de récupération proposés par le compte concerné ; un code de connexion est une autorisation, pas une simple information de contact.

Les courriels non sollicités peuvent également se multiplier après l’exposition d’une adresse, mais leur présence ne prouve pas à elle seule d’où elle provient. Marquez les messages indésirables comme tels, bloquez les expéditeurs manifestement abusifs et évitez de cliquer sur « se désabonner » dans un message qui paraît frauduleux. Pour les courriels légitimes que vous ne souhaitez plus recevoir, utilisez plutôt le mécanisme de désabonnement prévu par le service après avoir vérifié son authenticité.

Dans les semaines suivantes : décider si votre adresse doit changer

Une adresse e-mail exposée impose-t-elle de changer de boîte principale ?

En général, non. Une adresse e-mail est un identifiant de contact, pas un mot de passe. Son exposition peut faciliter des messages ciblés, des tentatives d’hameçonnage ou l’association de profils, mais ne prouve pas que votre boîte a été ouverte. Changer d’adresse entraîne aussi des frais de gestion : comptes à mettre à jour, services de récupération à réattribuer, risque d’oublier un organisme important et difficulté à distinguer les alertes légitimes des nouvelles demandes de confirmation.

Avant de migrer, évaluez la contrôlabilité de votre boîte : pouvez-vous toujours y accéder ? Le mot de passe est-il unique ? Les options de récupération sont-elles à jour ? Une authentification multifacteur est-elle activée ? Observez-vous des connexions ou des changements que vous n’avez pas demandés ? Si ces contrôles ne révèlent pas de problème, garder votre adresse tout en renforçant sa sécurité est souvent moins risqué qu’une migration précipitée.

Un changement devient plus pertinent si vous ne pouvez pas reprendre le contrôle de la boîte, si des accès non autorisés persistent malgré les mesures de récupération, si vous subissez des sollicitations ciblées continues ou si vous souhaitez reconstruire une séparation durable entre vos usages. Dans ce cas, migrez par étapes : créez et sécurisez la nouvelle adresse, mettez à jour les comptes essentiels, vérifiez les messages de récupération, puis conservez l’ancienne boîte sous surveillance tant que des services en dépendent. Le changement d’adresse ne retire pas les données déjà reçues par un tiers et ne garantit pas que les sollicitations cessent.

Pour protéger votre adresse principale, réservez-la aux services où vous avez besoin d’un accès durable et d’une récupération fiable. Attribuez plutôt une adresse distincte aux abonnements ou aux inscriptions dont l’intérêt est limité. Un guide pour séparer les adresses de vos inscriptions peut vous aider à classer les comptes selon leur importance, leur besoin de récupération et la confiance que vous leur accordez.

Cette séparation facilite aussi l’identification d’une source possible de messages indésirables : si une adresse réservée à un service reçoit ensuite des sollicitations sans rapport, vous disposez d’un indice utile. Ce n’est toutefois pas une preuve que ce service a vendu vos données. Une adresse peut être partagée, recopiée ou exposée par un intermédiaire ; ne formulez pas d’accusation sur la seule base de la réception d’un spam.

À long terme : inscriptions, confidentialité et limites des adresses temporaires

Pour les comptes importants, choisissez une adresse que vous contrôlez sur la durée. C’est le cas notamment des services financiers, des démarches administratives, des comptes contenant des documents personnels et de tout service dont la récupération pourrait vous être nécessaire longtemps après l’inscription. Une adresse temporaire n’est pas un bon substitut lorsqu’un service doit pouvoir vous joindre, vérifier votre identité ou vous envoyer un lien de récupération plusieurs mois plus tard.

Pour une inscription à faible enjeu, un contenu auquel vous souhaitez accéder ponctuellement ou un essai que vous ne prévoyez pas de conserver, une adresse séparée peut limiter l’exposition de votre boîte principale. Évaluez cependant les besoins avant de vous inscrire : faudra-t-il confirmer l’adresse, recevoir d’autres messages, répondre à l’expéditeur ou retrouver le compte plus tard ? Si la réponse est oui, choisissez une solution dont vous maîtrisez la continuité plutôt qu’une adresse que vous risquez de perdre.

TMPFox peut être envisagé pour de futures inscriptions de faible confiance lorsque vous voulez éviter de communiquer directement votre adresse principale. Vérifiez les fonctions et les conditions actuellement proposées avant de choisir, et n’y transférez pas la récupération d’un compte essentiel sans avoir confirmé que l’adresse restera disponible quand vous en aurez besoin. Pour comparer cette option avec une adresse masquée ou durable, consultez notre guide des différences entre adresse masquée et adresse jetable.

Une stratégie d’adresses séparées réduit l’exposition future ; elle n’efface pas l’exposition passée. Elle ne rend pas non plus anonyme au sens absolu : un service peut recueillir d’autres informations lors de l’inscription ou de l’utilisation, et une adresse isolée ne protège pas un compte dont le mot de passe a été réutilisé. Le bénéfice est plus précis : vous limitez les endroits où votre adresse principale est connue, vous pouvez isoler certains flux de messages et vous gardez les comptes importants associés à une adresse durable.

Après une alerte liée à Substack, procédez donc dans cet ordre : vérifiez la source, protégez les comptes où un mot de passe a été réutilisé, surveillez les tentatives d’hameçonnage et ne changez votre adresse principale que si son contrôle ou sa gestion à long terme le justifie. Pour les prochaines inscriptions sans enjeu durable, une adresse distincte via TMPFox peut éviter d’exposer directement votre boîte principale ; gardez en revanche une adresse maîtrisée pour les comptes financiers, administratifs et les accès que vous devrez pouvoir récupérer.