Casi hackeados indirectamente: riesgos, cadena de suministro y un recordatorio autocrítico
El artículo de hoy será un poco más autorreferencial de lo que acostumbramos.
La plataforma Substack sufrió una filtración de datos la semana pasada, y para los distraídos (o quienes no se hayan dado cuenta), este portal y su respectivo newsletter utilizan dicha plataforma. Pero no hay necesidad de alarmarse, ya que todo parece haber sido más leve de lo que se creía.
ACLARACIÓN: Antes de comenzar, queremos recordar que la suscripción a Ojo Cibernético es completamente gratuita, y que NUNCA nos comunicaremos para pedir información sobre tarjetas de crédito ni métodos de pago (ni tampoco lo debería hacer Substack). Por lo que recomendamos especial cuidado ante contactos o correos sospechosos que se hagan pasar por Substack o por nosotros.
Por otro lado, Substack notificó a los usuarios afectados, por lo que si no recibiste ninguna notificación a tu casilla de correo, es una gran noticia: no estás entre los afectados. Nuestro newsletter es todavía bastante nuevo, por lo que la probabilidad es bastante baja. Sin embargo, si alguno de nuestros suscriptores recibió la notificación de la plataforma y desea comunicarse, estamos a las órdenes.
Sobre la filtración de los datos
La semana pasada, Substack notificó a sus usuarios sobre una brecha de seguridad que permitió a un tercero no autorizado acceder a datos limitados, como direcciones de correo electrónico, números de teléfono y metadatos internos. Aunque el acceso indebido ocurrió en octubre de 2025, la compañía detectó el incidente recién esta semana, según confirmó su CEO, Chris Best, en los correos de notificación enviados a los afectados. La empresa aclaró que no se comprometieron contraseñas, credenciales ni información financiera, y que la vulnerabilidad ya fue corregida.
Si bien Substack no precisó cuántos usuarios resultaron impactados, un actor de amenazas filtró en el foro BreachForums una base de datos con cerca de 697.000 registros que presuntamente contienen la información robada, afirmando que los datos fueron obtenidos mediante scraping. Teniendo en cuenta que la plataforma afirma contar con más de 50 millones de usuarios, la probabilidad de estar entre los afectados es bastante baja.
La plataforma advirtió sobre posibles intentos de phishing derivados del incidente y aseguró haber implementado salvaguardas adicionales para evitar que se repita. El caso vuelve a poner el foco en los desafíos de seguridad de Substack, que ya había protagonizado un episodio de exposición accidental en 2020, en un contexto en el que la plataforma alcanza millones de suscripciones pagas a nivel global.
Riesgos de la cadena de suministro y un recordatorio/autocrítica
Este incidente pone en evidencia los riesgos que una brecha en plataformas muy utilizadas como Substack puede generar en la cadena de suministro digital de medios, periodistas y creadores de contenido que dependemos de estos servicios para distribuir información y monetizar audiencias. La exposición de correos electrónicos y números de teléfono, aunque limitada, amplía la superficie de ataque para campañas de phishing dirigidas, suplantación de identidad y fraudes que pueden afectar tanto a usuarios directos como a contactos, suscriptores y organizaciones asociadas.
En este sentido, una falla en un proveedor puede convertirse en un vector indirecto para comprometer usuarios y erosionar la confianza en los canales de comunicación, evidenciando cómo la seguridad de terceros es un eslabón crítico (y a menudo subestimado por nosotros mismos) dentro de la cadena de suministro digital.
Algo que no repetimos tanto como deberíamos es que nunca hay un 100% de ciberseguridad. Ningún sistema ni usuario puede considerarse completamente seguro. Y cuando se dan noticias sobre ciberseguridad, a veces puede caerse en la utilización de un tono crítico con filtraciones de otros, sin caer en la cuenta de que todos podemos vernos afectados en algún momento.
¿Seguiremos usando Substack?
Sí. No por tercos ni por fanáticos de una plataforma. Sino por la comodidad que nos brinda y la libertad de expresión que ofrece, la cual muchas veces ha sido criticada desde algunos sectores, por permitir que se publiquen en la plataforma lo que consideran “posturas extremistas”.
Sumado a esto, por el momento creemos que los recursos que puede dedicar Substack a controles de ciberseguridad son bastante superiores a los que podríamos destinar nosotros a un portal propio. Además, la transparencia a la hora de comunicar y la notificación a los afectados, están entre las prácticas que consideramos adecuadas para el manejo de un incidente de estas características.