Após o vazamento de e-mails e números de telefone do Substack em 2026, o que os usuários devem fazer primeiro?

Não abandone seu e-mail principal apenas porque o endereço pode ter sido exposto: primeiro confirme a origem do aviso e proteja as contas que usam a mesma senha. Essa decisão faz sentido se você ainda controla sua caixa de entrada e não encontrou atividade suspeita; se perdeu o acesso ou há sinais de invasão, priorize a recuperação e a segurança da conta.

Adequado para: assinantes que receberam uma notificação de segurança do Substack, pessoas que estão recebendo mensagens suspeitas sobre o incidente e quem quer separar cadastros futuros do e-mail principal. Se você não usa o serviço e não recebeu mensagens relacionadas, as medidas gerais ainda podem ajudar, mas não há motivo para presumir que seus dados foram afetados.

Escopo do incidente: confirmado e desconhecido

Em 5 de fevereiro de 2026, a TechCrunch noticiou que o incidente divulgado pelo Substack envolveu endereços de e-mail, números de telefone e metadados internos não detalhados. A reportagem afirmou que senhas e dados de pagamento não faziam parte do escopo afetado descrito. Isso não comprova, por si só, que todas as contas estejam seguras ou que cada assinante tenha sido afetado: significa que esses dados não foram apontados como atingidos naquela cobertura. Leia a reportagem da TechCrunch sobre os dados mencionados.

Use qualquer comunicação recebida diretamente do serviço e os comunicados oficiais posteriores como referência prioritária. Uma notícia ajuda a entender o que foi reportado, mas não substitui uma orientação direcionada à sua conta. Se não houver uma publicação oficial acessível que esclareça determinado ponto, não trate esse detalhe como declaração da plataforma.

A reportagem descreve categorias de dados, mas não permite concluir quantas pessoas foram afetadas, como os dados serão usados ou se o seu endereço específico foi acessado. Alegações atribuídas a atacantes, publicações em fóruns ou mensagens que anunciam uma “lista completa” também não comprovam a autenticidade, a origem ou o conteúdo dos arquivos. Sem confirmação verificável, mantenha esses detalhes como desconhecidos.

Essa distinção evita duas decisões custosas: abandonar uma caixa de entrada que continua sob seu controle ou, no extremo oposto, ignorar um risco porque a cobertura não incluiu senhas. O caminho é conferir sua conta e agir diante de sinais concretos. Se novas informações oficiais ampliarem ou reduzirem o escopo, reavalie as medidas; não deduza mudanças com base em rumores ou em mensagens que não possam ser verificadas.

Recebimento do aviso: confirmação sem clicar

Uma mensagem pode usar o nome do Substack, o logotipo ou detalhes verdadeiros do incidente e ainda assim ser falsa. O contexto real deixa um golpe mais convincente: o remetente pode afirmar que precisa “confirmar seus dados” ou que sua assinatura será suspensa se você não agir imediatamente. A urgência não comprova autenticidade.

Abra o serviço por um endereço ou aplicativo que você já conhece, em vez de seguir o botão recebido. Procure uma notificação dentro da conta ou uma página oficial de ajuda. Confira o endereço completo do remetente e, antes de qualquer acesso, observe o domínio de destino do link. Um nome de exibição familiar não garante que o endereço seja legítimo.

Se houver dúvida, não responda para pedir confirmação. Procure um canal de contato por uma fonte independente e compare as informações. Nunca informe sua senha, código de autenticação ou dados de pagamento em resposta a uma solicitação inesperada. O guia da FTC sobre como reconhecer golpes de phishing por e-mail e mensagem recomenda desconfiar de pedidos urgentes e verificar a solicitação por um canal confiável. O mesmo cuidado vale para SMS e chamadas que usam o vazamento como pretexto.

No mesmo dia: proteção do acesso às contas

Depois de verificar a mensagem, entre no Substack pelo caminho conhecido e confira se você ainda consegue acessar a conta. Observe alertas de acesso que não reconhece, alterações de perfil ou notificações inesperadas. Não presuma que uma mensagem sobre atividade suspeita seja verdadeira: verifique o estado da conta diretamente.

Se encontrar algo fora do esperado, siga as orientações oficiais de segurança e recuperação do serviço. Se não conseguir entrar, use o processo de recuperação acessado pela página oficial, não um link enviado por uma mensagem alarmista. Para uma caixa de e-mail que você suspeita ter sido invadida, as instruções da FTC para recuperar uma conta de e-mail ou rede social comprometida ajudam a organizar as medidas de recuperação.

A senha reutilizada em outros serviços merece atenção especial. Se a mesma senha protege o Substack e outras contas, troque-a em cada serviço, começando pelos que controlam recuperação de identidade, comunicação ou acesso a dados sensíveis. Use senhas diferentes e guarde-as em um método de gerenciamento seguro. A exposição de um endereço não prova que a senha foi obtida, mas a reutilização transforma um risco potencial em uma possibilidade evitável.

Ative a autenticação multifator onde estiver disponível, sobretudo no e-mail principal. A explicação do Substack sobre autenticação de dois fatores descreve o recurso na plataforma; a orientação da CISA sobre autenticação multifator explica por que uma etapa adicional de verificação pode dificultar acessos indevidos. Ativá-la não corrige uma senha comprometida, então faça as duas coisas quando houver reutilização ou suspeita de acesso.

Uma situação hipotética ajuda a ordenar as ações: você recebe um aviso sobre o incidente e, no mesmo dia, encontra uma tentativa de login desconhecida na caixa principal, que também recebe links de recuperação de outras contas. Nesse caso, proteger e recuperar o e-mail principal tem prioridade sobre trocar o endereço usado no Substack. Mudar o endereço de cadastro sem proteger a caixa comprometida não elimina o caminho de acesso.

Nos dias seguintes: reconhecimento de phishing

Depois de uma notícia de vazamento, criminosos podem aproveitar o assunto para enviar mensagens que parecem vir da plataforma, de uma equipe de segurança ou de um serviço de suporte. O conteúdo pode mencionar dados reais do incidente; isso não autentica o remetente. Uma mensagem pode até acertar seu nome ou número e continuar sendo uma tentativa de engano.

Antes de abrir um anexo ou seguir uma instrução, confira o endereço completo do remetente e o domínio real do link. Desconfie de páginas que imitam uma tela de login, pedidos de código de verificação, solicitações para instalar um arquivo e avisos sobre um acesso que você precisa “reverter” imediatamente. Se a mensagem pedir um código que acabou de chegar ao seu telefone ou à sua caixa de entrada, não o compartilhe. Códigos de uso único podem permitir que outra pessoa conclua um acesso, mesmo quando você não revelou a senha.

Também vale observar a diferença entre um alerta legítimo e uma mensagem apenas plausível. Um aviso pode informar que você deve revisar a conta, mas um botão que leva a um domínio estranho, uma ameaça de perda imediata ou um pedido inesperado de pagamento são motivos para parar. Em vez de decidir pelo visual da mensagem, confirme a solicitação no canal oficial. Não responda a um SMS suspeito nem ligue para números fornecidos nele; procure os meios de contato por uma fonte confiável.

Decisão sobre o endereço: controle e recuperação

Um endereço exposto pode receber mais spam, tentativas de phishing ou mensagens direcionadas. Isso não significa automaticamente que alguém controla sua caixa de entrada. Trocar o endereço cadastrado em um serviço e abandonar seu e-mail principal são decisões diferentes; a segunda pode afetar contas, contatos e processos de recuperação que dependem dele.

Considere uma migração planejada se você não consegue recuperar a caixa principal, encontrou alterações ou acessos que não reconhece e não consegue reverter, ou enfrenta assédio persistente direcionado a esse endereço. Se o problema se limita a mais mensagens indesejadas, comece com filtros, bloqueio de remetentes e revisão das opções de segurança. Se decidir mudar, atualize primeiro as contas importantes e teste o acesso antes de deixar de usar o endereço antigo.

Trocar de e-mail também não apaga dados que já foram compartilhados com uma empresa nem garante que cópias existentes desapareçam. A mudança deve resolver um problema identificável — como perda de controle ou falta de recuperação confiável — e não funcionar como promessa de apagar uma exposição anterior.

Checklist para executar sem precipitar a migração

Use esta lista na ordem que fizer sentido para sua situação. Se encontrar um sinal de invasão, interrompa a revisão de cadastros e trate primeiro a recuperação da conta afetada.

[ ] Abra sua conta do Substack pelo caminho conhecido, sem usar links de uma mensagem inesperada.
[ ] Procure comunicados oficiais e compare-os com o conteúdo do aviso recebido.
[ ] Verifique se você ainda controla o acesso à conta e se há atividade que não reconhece.
[ ] Confira se a senha usada ali também protege outros serviços.
[ ] Troque as senhas reutilizadas e ative a autenticação multifator disponível.
[ ] Revise alertas, filtros e opções de recuperação do e-mail principal.
[ ] Ignore solicitações inesperadas de senha, código de verificação ou pagamento.
[ ] Decida sobre a migração somente depois de avaliar o controle e a recuperação da caixa.

Esse roteiro ajuda a responder ao que fazer quando o endereço foi exposto: reduzir oportunidades de tomada de conta, identificar mensagens suspeitas e evitar que um cadastro de baixa confiança compartilhe o mesmo endereço dos serviços importantes.

Perguntas frequentes sobre o incidente

Preciso trocar meu e-mail principal por causa do incidente do Substack?

Não necessariamente. Um endereço de e-mail exposto não prova, por si só, que alguém acessou sua caixa de entrada. Primeiro verifique se há alertas de acesso, regras de encaminhamento desconhecidas ou perda de controle da conta. Considere migrar com calma se o endereço estiver comprometido, se a recuperação não for confiável ou se você quiser separar cadastros futuros.

Como verifico se uma notificação sobre o Substack é legítima?

Não use o botão da mensagem para entrar na conta. Abra o aplicativo ou o endereço oficial que você já utiliza, procure comunicados por lá e compare o remetente e o destino dos links com os canais conhecidos. Uma mensagem que pede senha, código de autenticação ou dados de pagamento sob pressão deve ser tratada como suspeita, mesmo que mencione o incidente real.

O que faço com uma mensagem que usa o vazamento do Substack para me assustar?

Não responda, não abra anexos e não informe códigos. Examine o endereço completo do remetente e o domínio real do link; nomes e logotipos podem ser copiados. Se a mensagem alegar que sua conta foi invadida, confirme isso entrando diretamente no serviço. Depois, denuncie a mensagem pelos recursos disponíveis no seu provedor de e-mail ou telefone.

Como reduzo spam e tentativas de phishing depois que meu endereço foi exposto?

Mantenha a conta de e-mail protegida, filtre mensagens suspeitas e evite confirmar se um endereço está ativo respondendo a remetentes desconhecidos. Para cadastros futuros, use endereços separados conforme a confiança e a importância do serviço. Isso ajuda a identificar onde um endereço foi usado, mas não apaga os dados que já foram compartilhados ou copiados.

Separação de endereços conforme o risco

Para reduzir a exposição futura, diferencie contas importantes de cadastros que você não pretende manter. Essa estratégia não desfaz o incidente, mas limita quantos serviços dependem do mesmo endereço e facilita perceber onde um endereço usado em um cadastro começou a receber mensagens indesejadas. O guia sobre separar endereços de e-mail conforme a finalidade ajuda a planejar essa divisão.

Tipo de cadastro	Endereço mais adequado	Vantagem	Limite
E-mail principal e recuperação de contas	Endereço pessoal controlado a longo prazo	Mantém acesso a avisos e recuperação importantes	Exige proteção forte e revisão periódica
Serviço que você usa com frequência	Endereço dedicado ou alias que você consegue manter	Separa mensagens sem perder continuidade	Ainda depende de acesso e recuperação futuros
Cadastro de baixa confiança ou uso pontual	Endereço temporário, quando o serviço permite	Evita expor o endereço principal naquele cadastro	Pode não servir para recuperar a conta ou receber mensagens futuras

A escolha depende do que você precisará fazer depois. Se uma conta pode conter compras, dados de trabalho, acesso a arquivos ou histórico que você queira recuperar, use um endereço durável. Um endereço temporário não é adequado para banco, pagamentos, serviços públicos, recuperação de contas importantes ou qualquer cadastro que precise receber mensagens de forma contínua. Nenhum tipo de endereço consegue recolher uma informação que já foi copiada por terceiros.

Sinal observado	Próxima decisão	O que evitar
Nenhuma atividade suspeita; você controla a caixa	Mantenha o e-mail principal e proteja as contas com senha reutilizada	Migrar por impulso
Mais spam, mas sem indício de acesso à caixa	Filtre mensagens e use endereços separados em cadastros futuros	Responder a remetentes desconhecidos
Acesso perdido ou alterações não autorizadas	Inicie a recuperação pelo canal oficial e revise contas ligadas ao e-mail	Trocar apenas o endereço de cadastro
Precisa manter contato e recuperação de longo prazo	Escolha um endereço que continuará sob seu controle	Usar um endereço descartável como recuperação

Uma comparação entre endereços temporários e opções de mascaramento pode ajudar quando você estiver escolhendo um endereço para cadastros futuros. A principal diferença prática é a continuidade: use uma opção que você controla a longo prazo quando precisar recuperar a conta; reserve endereços temporários para cadastros pontuais que não dependam de contato futuro.

Depois da resposta ao incidente

Última atualização: 20 de outubro de 2026. As informações sobre os dados mencionados e a data da cobertura foram verificadas com a reportagem da TechCrunch citada acima. As recomendações de prevenção foram comparadas às orientações da FTC, às informações do Substack sobre autenticação de dois fatores e às recomendações da CISA também citadas neste texto. Se surgir um comunicado oficial que altere o escopo ou as medidas recomendadas, reavalie as decisões com base nessa orientação, não em mensagens encaminhadas sem fonte verificável.

Para cadastros de teste, inscrições pontuais ou serviços de baixa confiança, separar o endereço usado pode ser mais simples do que expor o e-mail principal repetidamente. Quando você não precisa de uma conta duradoura, o TMPFox oferece um endereço temporário sem exigir cadastro, pronto para uso; reserve o e-mail principal para recuperação, avisos importantes e serviços que você precisa manter. Acesse o TMPFox se essa separação fizer sentido para o próximo cadastro.