結論：通知を確かめてから対処し、主メールアドレスは急いで捨てない

TechCrunchは2026年2月5日、Substackの情報漏えいについて、ユーザーのメールアドレスと電話番号などが影響を受けたと報じています。報道された範囲だけを理由に、主メールアドレスをすぐ変更する必要はありません。まず通知の真偽とアカウントの状態を確かめ、パスワードの使い回しがあれば優先して解消し、その後は事件に便乗したメールやSMSを警戒してください。

この記事が役立つ人
Substackからセキュリティ通知を受け取った購読者は、通知とアカウントの確認手順を整理できます。
関連する不審なメールやSMSが届いた人は、偽の案内を見分けるポイントを確認できます。
登録先ごとにアドレスを分けたい人は、主メールアドレスを守るための長期的な方法を検討できます。

最終更新：2026年10月20日。報道された範囲はTechCrunchの記事、アカウント保護の案内はSubstackの二要素認証ガイドおよびCISAの多要素認証に関する案内を参照しています。新たな公式発表があれば、影響範囲と対処内容を見直してください。

まず把握したい、報道で確認できることと未確認のこと

現時点で記事にできる情報は、公式通知・公式発表と報道を区別して扱う必要があります。公開された公式原文を確認できない場合、報道内容をSubstack自身の説明として引用してはいけません。

情報 現時点での扱い あなたが取る行動
メールアドレス、電話番号 TechCrunchが影響対象として報道 不審な連絡への警戒を強める
詳細が示されていない内部メタデータ 報道で言及されているが、具体的な内容は不明 内容や使われ方を推測しない
パスワード、支払い情報 同報道で、影響を受けた範囲としては示されていない 「漏れていない」と断定せず、使い回しや不審な請求を個別に確認する
影響を受けた人数、攻撃者の目的、全購読者への影響 ここで参照する報道からは確定できない 未確認情報を確定事項として扱わない

「パスワードや支払い情報が報道された影響範囲に含まれていない」ことは、「どの利用者についても絶対に影響がない」という証明ではありません。通知を受け取ったかどうかにかかわらず、あなたのアカウントに異常がないかを自分で確かめるのが妥当です。

通知を受け取った直後：リンクを開かずに発信元を確かめる

セキュリティ通知を装うメールやSMSには、本当の事件名を含めて信用させ、偽のログイン画面へ誘導するものがあります。事件に触れていること自体は、本物である証拠にはなりません。

メール本文のリンクから入るのではなく、普段使っている公式の入口を自分で開いて、アカウント内のお知らせや公式発表を確認してください。差出人の表示名だけではなく、実際のメールアドレスとリンク先のドメインを見比べます。緊急対応を名目に、パスワード、認証コード、支払い情報を送信させる内容には応じないでください。

確認する点 信頼性を判断する手掛かり 避ける行動
差出人 表示名ではなく実際のアドレスを確認する 表示名だけを見て返信する
リンク 公式の入口から同じ案内を確認する メールのリンクからログインする
要求内容 公式案内と照合し、不自然な要求がないか見る 認証コードや支払い情報を送る
急がせる表現 恐怖や期限で判断を迫る内容を警戒する 焦って添付を開いたり、情報を入力したりする

FTCのフィッシング詐欺対策ガイドも、メールやSMSで届く不審な依頼を見分ける考え方を説明しています。判断に迷ったら、メッセージに返信せず、公式の窓口を別の経路で確認してください。

当日：ログインとパスワードの使い回しを確認する

メールアドレスが知られた状況では、攻撃者が既知の情報と他サービスのログイン情報を組み合わせる可能性を考慮し、まずアカウントの管理状況を確認します。これはSubstackのアカウントが侵害されたという意味ではなく、確認の優先順位を決めるための対策です。

次の項目を、上から順に実行してください。

  • [ ] 公式の入口からログインできることを確認する。
  • [ ] 見覚えのない投稿、設定変更、登録情報の変更がないか確認する。
  • [ ] Substackで使っているパスワードを、他のサービスにも使っていないか調べる。
  • [ ] 同じパスワードを使っているサービスがあれば、サービスごとに別の強いパスワードへ変更する。
  • [ ] 利用できる場合は、多要素認証を有効にする。
  • [ ] メールアカウント自体にも不審なログインや復旧先の変更がないか確認する。

Substackは二要素認証の設定方法を案内しています。利用可能な認証方法や設定手順は公式の現行案内で確認してください。メールアカウントにログインできない、または不正利用が疑われる場合は、FTCのアカウント復旧ガイドを参考に、先にメール側の復旧を進めます。

パスワードを変える順番

同じパスワードを複数サービスで使っているなら、影響の大きいアカウントから順に、各サービス専用のパスワードへ変更してください。単に末尾の数字を変えたものは別々のパスワードとして管理しにくいため、パスワード管理ツールなどを使って使い回しを避けます。

数日間：事件に便乗したメールやSMSを見分ける

漏えいの報道が広がった後は、プラットフォームのサポート担当やセキュリティチームを装った連絡にも注意が必要です。実際の出来事を知っている文面でも、送信者やリンク先が正しいとは限りません。

特に、ログインを急がせるリンク、添付ファイル、認証コードの聞き出し、身に覚えのないログイン確認には慎重に対応してください。何かを確認する必要がある場合は、メール内の連絡先ではなく、公式サイトからたどった案内を使います。偽メールの見分け方をもう少し整理したい場合は、一時メールと匿名メールの違いも、アドレスの使い分けを考える際の参考になります。

よくある質問

メールアドレスが報道に含まれたら、主メールを変更すべきですか？

メールアドレスの露出だけで、主メールアカウントが乗っ取られたとは判断できません。ログイン異常や復旧不能な問題があるか、同じパスワードを他のサービスで再利用していないかを先に確かめます。継続的な標的型の嫌がらせがある場合や、住所を段階的に分け直したい場合は、必要な連絡先を移行してから旧アドレスの扱いを決めてください。

通知が本物か確かめるには、どこを見ればよいですか？

差出人の表示名ではなく実際のアドレスを確認し、メールにあるリンクは開かず、使い慣れた公式の入口から発表やアカウント内のお知らせを探します。認証コードやパスワードの提出を求められたら応じないでください。公式情報と照合できない場合は、その連絡をいったん保留し、独立して確認できる窓口を利用します。

漏えいの話が書かれた不審なメールやSMSには、どう対応しますか？

事件名が正しく書かれていても、本文のリンクや添付ファイルを安全とは判断できません。送信元、リンク先のドメイン、ログインや認証コードを要求する理由を調べ、確認は公式サイトから行います。誤って情報を入力した場合は、該当サービスのパスワード変更とセッションの確認を優先し、メールアカウントにも同じ情報を使っていないか確認してください。

迷惑メールやフィッシングのリスクを下げるには何ができますか？

過去に公開されたアドレスを完全に取り消すことはできませんが、不審な連絡に反応しないこと、迷惑メール設定を使うこと、今後の登録先ごとにアドレスを分けることで、受信や被害の機会を減らしやすくなります。住所を分けていれば、特定の登録先だけに使ったアドレスに連絡が来たとき、流出元を推測する手掛かりにもなります。

長期対策：登録先の重要度に応じてアドレスを分ける

今回のような報道を機に、すべてのサービスで主メールアドレスを変更する必要はありません。長期的には、重要なアカウント、継続利用するサービス、信頼度の低いサイトで登録用アドレスを分ける方が、変更の負担を抑えながら露出を管理しやすくなります。

たとえば、金融・行政・長期利用するアカウントには、本人が継続して管理でき、復旧にも使えるアドレスを登録します。一時的な閲覧や低信頼サイトの登録には、主アドレスを直接渡さない方法を検討できます。アドレスを分けても、すでに渡した情報を回収できるわけではない点は変わりません。

分け方の利点
- どの登録先で使ったアドレスに迷惑メールが届いたか、切り分ける手掛かりになります。
- 低信頼サイトに主メールアドレスを直接渡さずに済みます。

分け方の限界
- 登録先がすでに持つデータを消したり、漏えい後の連絡を完全に止めたりすることはできません。
- 一時的なアドレスは、長期の本人確認やアカウント復旧を前提とする登録には向きません。
- 銀行、決済、行政など、重要な通知や継続的な受信が必要な用途には、長く管理できるアドレスを使ってください。

登録用アドレスの考え方は、登録先ごとにメールアドレスを分ける方法でも確認できます。長期的な復旧を見込むアカウントと、一度きりの登録を同じ基準で扱わないことが大切です。

Substackの報道を受けて急いで主アドレスを捨てるより、まず通知を独立して確かめ、アカウントとパスワードの状態を整える方が、復旧不能や連絡の見落としを避けやすくなります。今後、信頼度の低いサイトへの登録で主アドレスを出したくない場合は、TMPFoxの一時メールを選択肢にできます。金融・行政・長期利用するアカウントには使わず、利用条件や受信できる期間を確認したうえで、短期の登録先と主メールアドレスを分けてください。

よくある質問

Substackの情報漏えい後、メールアドレスをすぐ変更すべきですか？

メールアドレスが知られたという情報だけでは、メールアカウント自体が乗っ取られたとは判断できません。まずログインできるか、見覚えのない操作がないか、パスワードを使い回していないかを確認してください。復旧できない不正アクセスや継続的な標的型迷惑メールがある場合は、移行を段階的に検討します。

Substackのセキュリティ通知が本物かどうか、どう確認できますか？

メール内のリンクを開かず、普段使っている公式の入口を自分で入力してアクセスし、アカウント内のお知らせや公式発表を確認します。送信元の表示名だけで判断せず、実際のアドレスとリンク先のドメインを確かめてください。パスワードや認証コード、支払い情報の入力を急がせる内容には応じないでください。

Substackの漏えいに触れたメールが届いたら、何をすればよいですか？

実際の出来事を知っているメールでも、本物とは限りません。リンクや添付ファイルを開く前に、送信元アドレス、リンク先のドメイン、認証コードの要求、不自然なログイン確認を調べます。疑わしいときは返信せず、公式の入口からアカウント状況を確認し、必要なら迷惑メールとして報告してください。

メールアドレスが漏れた後、迷惑メールやフィッシングを減らせますか？

すでに外部に渡ったアドレスを後から回収することはできませんが、届いた不審メールのリンクや添付を開かず、迷惑メール設定や送信者のブロックを使うことで接触のリスクを抑えられます。今後は登録先の信頼度に応じて別のアドレスを使い分けると、主アドレスの露出を減らしやすくなります。