Substack 2026 邮箱和手机号泄露后，用户该先做什么？

收到 Substack 安全事件通知的订阅者，可按下面的时间线核对通知和账号状态。
近期收到可疑邮件或短信的人，可重点查看仿冒通知的识别方法。
想减少不同网站泄露对主邮箱的影响的人，可参考后文的地址分层方案。

最后更新于 2026 年 10 月 20 日；事件范围核对自媒体对用户通知的报道，账号操作建议核对平台帮助文档及美国联邦贸易委员会、网络安全和基础设施安全局的公开指引。

先把已知范围和未知信息分开

关于 Substack 数据泄露 2026，目前可引用的公开报道说，未经授权的第三方访问了邮箱地址、手机号及未具体说明的内部元数据；报道把事件时间描述为 2025 年 10 月，并称平台于 2026 年 2 月发现问题。报道没有给出受影响用户总数，也没有说明每位订阅者是否都受到影响，所以不要把未经证实的记录数量或攻击者用途当成事实。

同一报道说，密码、信用卡号和其他财务信息不在其所述受影响范围内。需要注意的是，这属于媒体对用户通知内容的报道，并不等于你可以由此判断自己一定收到或一定没收到通知；若你手上有平台直接发来的信息，应优先核对那份通知及后续官方说明。

公开细节并不完整，会带来几个实际限制：你无法单凭新闻确认自己的地址是否在记录中；邮箱和手机号同时暴露，会让仿冒联系更像“知道你是谁”；而即便目前没有发现滥用迹象，也不能推导出未来不会收到针对性垃圾邮件或钓鱼信息。邮箱地址泄露怎么办，第一步不是猜名单，而是保护可控制的账号，并观察实际异常。

收到通知后的第一轮核验

判断安全通知是否可靠，应该从哪里开始？不要从邮件或短信中的按钮进入账户。自己输入已知的网址，或通过你平时使用的官方应用查看账户通知；也可以从独立保存的官方帮助入口查找安全说明。比对发件地址和链接的实际目标，但不要把显示名称、标志或邮件排版当作真实性证明。

当天可完成的操作：

• [ ] 不点击通知内的登录、付款、验证或“立即保护”链接，也不打开来历不明的附件。
• [ ] 独立打开已知的官方入口，查看是否能正常登录、是否有你不认识的活动或账户资料变更。
• [ ] 不通过邮件或短信回复密码、一次性验证码、支付资料或恢复信息；有疑问时通过自己找到的官方渠道联系平台。
• [ ] 如果你确实收到通知，保留原始邮件或短信以便后续核对；不要转发其中可能含有个人信息的链接给他人。

美国联邦贸易委员会提醒，仿冒信息常借紧急措辞诱导点击，建议通过已知真实的网站或电话号码联系相关机构，而不是使用消息里的联系方式；其钓鱼邮件与短信识别指南也列出了常见的索取信息和可疑链接特征。

检查账号与密码复用

若你能正常登录，接着检查是否有陌生登录提醒、资料被改、无法识别的账户活动。若你无法登录，或收到并非由你发起的密码、恢复邮箱变更通知，应按账户恢复流程处理，而不是只更换注册邮箱。

如果同一密码也用于其他网站，先逐一更换这些复用密码，尤其是主邮箱和可用于找回其他账户的邮箱。邮箱地址暴露不等于邮箱账号已被控制，但复用密码会把一个服务的风险扩散到其他账户。能够启用多因素验证时，优先保护主邮箱及重要账户。

平台帮助文档说明，Substack 账户可在安全设置中启用双重验证，但需先设置恢复问题；具体操作应以平台的双重验证说明为准。网络安全和基础设施安全局也说明，多因素验证可以在密码被窃取后增加额外的登录门槛，见其多因素验证安全建议。

主邮箱保护不能只看这次事件。若担心邮箱本身已遭入侵，检查登录设备、恢复联系方式、转发规则和已发送邮件；美国联邦贸易委员会的被盗邮箱账号恢复指南列出了这些检查方向。

随后数日：留意仿冒邮件与短信

面对借 Substack 事件发送的邮件或短信，先做什么？先不要点击、回复或提供验证码；把发件地址、链接域名、附件和要求逐项核对，再独立登录查看是否有相同通知。攻击者可以借真实事件包装假客服、假安全团队或假账户恢复流程，因此“内容说对了”不是可信凭据。

钓鱼邮件识别可以抓住几类风险信号：发件地址与声称身份不匹配；链接实际域名与文字显示不一致；附件或二维码要求你安装软件、重新登录；消息索取密码、验证码或付款资料；以及用限时、封号、账户异常等措辞催你跳过核验。任何一项都值得停下来，但单凭语气或拼写也不能作为唯一判断标准。

若已经点开链接但没有提交信息，关闭页面，不再输入资料；若输入了密码，立即从可信入口更改该密码，并更换所有复用它的账户。若交出了验证码，或发现账户活动异常，尽快使用官方恢复渠道并检查恢复联系方式。若泄露的是银行卡或支付资料，则另行联系金融机构核查，而不是因这次邮箱事件就假定支付信息已经泄露。

是否更换主邮箱：看异常，不看恐慌

仅凭地址出现在事件报道中，需要马上弃用主邮箱吗？通常不需要。邮箱地址被他人知道，与对方能够登录你的邮箱，是两种不同风险；如果登录正常、密码独立且恢复方式可控，先加强账号防护并观察后续针对性骚扰更合理。

考虑分阶段迁移的情况包括：主邮箱自身已无法恢复或出现账号被接管迹象；持续收到与你个人账户相关的针对性骚扰；或者你原本就打算重建工作、订阅和重要账户之间的地址隔离。迁移时先更新重要账户的登录及恢复地址，确认新地址可长期使用，再逐步处理订阅和低优先级注册。换地址不会撤回已经泄露的数据，也不能保证旧地址不再收到邮件。

场景例子：你收到一封写着“Substack 账户将在数小时内关闭”的短信，链接要求输入邮箱验证码。你能正常进入账户，且没有异常登录记录。此时更稳妥的动作是忽略短信链接、从已知入口确认账号、检查密码是否复用并启用可用的多因素验证；单凭这条短信和邮箱地址暴露，不足以说明你需要放弃主邮箱。

长期注册分层：把用途和可恢复性放在一起

一个地址用于所有网站，管理起来省事，但发生泄露后更难判断邮件来自哪次注册，也会让主邮箱暴露在更多不熟悉的网站。给不同信任等级的网站使用不同地址，可以缩小日后排查的范围；如果某个地址只用于一类低信任注册，突然收到相关垃圾邮件时，来源也更容易定位。

不过，隔离地址有维护成本：你需要记住哪个地址对应哪个账户，也要确保长期账户的找回邮件仍能收到。临时地址适合短时注册或收一次验证码，不适合银行、支付、政务等重要账户，也不适合需要持续收信、回复或长期找回的服务。临时邮箱同样不能删除已经被其他机构保存的数据。

如果你在比较临时邮箱、匿名邮箱和邮箱别名，可以先按“是否需要长期恢复、是否要回信、是否只收一次验证码”选择类型；临时邮箱与邮箱别名的区别说明了两者的用途边界。对需要持续通知的账户，参阅注册与结账邮箱分离方案；若想按不同地址定位可能的泄露来源，可看账户恢复地址规划指南。

两张表做决定：现在处理什么，之后用什么地址

你的情况	现在的动作	是否换主邮箱
只看到邮箱地址出现在事件报道，账号无异常	核实通知、检查密码复用、观察来信	通常不必
同一密码用于其他服务	先逐项更换复用密码，再启用可用的多因素验证	不因地址暴露而自动需要
发现陌生登录、恢复资料被改或无法登录	立即走官方账户恢复流程，并检查其他复用凭据	先恢复控制权，再评估迁移
主邮箱已无法安全恢复，或持续遭遇针对性骚扰	规划重要账户的分阶段迁移与恢复方式	可考虑迁移，避免一次性弃用

地址类型	适合的用途	主要代价或限制
主邮箱	长期重要账户、密码找回、持续通知	暴露给太多网站会增加垃圾邮件和钓鱼触达面
邮箱别名或转发地址	需要持续收信、保留恢复通道，又想隔离真实地址	要确认转发及账户恢复渠道可长期使用
临时邮箱	临时注册、试用、短时收验证码	不适合长期找回、金融、政务或需要回信的账户

按风险隔离下一次注册

如果你要注册的网站只是一次性试用或临时收验证码，可以把这类低信任注册与主邮箱分开，减少之后的垃圾邮件进入私人收件箱；但重要账号仍应使用可长期控制、可找回的地址。要快速建立这种隔离，TMPFox 提供无需注册即可使用的临时收件箱；你可以从 TMPFox 临时邮箱页面查看当前可用方式。若你希望先决定哪些账户应长期保留、哪些只需临时收信，先按上面的表格分类，再选择地址，比因一次泄露仓促更换所有邮箱更稳妥。