Lo que los creadores deben hacer ahora tras la filtración de datos de Substack en febrero de 2026: proteger suscriptores, ingresos y confianza

Por qué esto importa a los creadores (resumen)

• Los datos de contacto expuestos alimentan ataques de phishing y SIM‑swap que pueden engañar a tu audiencia y dañar las renovaciones o las conversiones. ^[2]
• Incluso si los datos de pago no se filtraron, la pérdida de confianza o una mala entregabilidad costarán suscriptores de pago y futuras inscripciones. ^[3]
• Actores amenazantes afirman haber publicado ~700K registros del incidente — trata a cada suscriptor como potencialmente objetivo. ^[4]

Tres acciones inmediatas (primeras 48 horas)

1) Bloquea y exporta tus datos (30–90 minutos)

• Exporta tu CSV completo de suscriptores desde Substack de inmediato (correos, estado pagado/gratuito, números de teléfono). Substack permite exportar suscriptores; haz esto ahora para controlar una copia de tu lista. ^[5]
• Haz copia de seguridad de publicaciones, historial de pagos y activos multimedia (audio/video): guarda copias cifradas en Google Drive, Dropbox u otro almacenamiento seguro. ^[6]
• Si usas herramientas de terceros (Zapier, CRM, herramientas de correo), revisa las apps conectadas y revoca tokens que no reconozcas. Ningún cambio es demasiado pequeño en el primer día.

2) Protección inmediata para suscriptores (horas)

• Envía una notificación breve y calmada solo a suscriptores de pago (ver plantilla abajo). Usa Substack o tu lista exportada — evita SMS masivos a menos que controles la identidad del remitente.
• Aconseja a los suscriptores que estén alerta ante phishing, que no hagan clic en enlaces inesperados y que verifiquen cualquier SMS/llamada contactándote por un canal conocido. Cita la divulgación de Substack para mostrar transparencia. ^[7]
• Si también cobras en otros sitios (Patreon, Gumroad, Stripe), confirma que no hubo compromiso de pagos allí — publica una breve tranquilidad al respecto.

3) Endurece tu configuración de publicación y pagos (próximas 48 horas)

• Activa la autenticación de dos factores (2FA) en tu cuenta de Substack, Stripe, correo y cualquier herramienta de administración. Exige contraseñas fuertes y contactos de recuperación únicos.
• Revisa DNS y autenticación de correo: publica o verifica SPF, DKIM y DMARC para tu dominio si usas un dominio personalizado (esto reduce el riesgo de suplantación de dominio y phishing). Los principales proveedores de bandeja de entrada ahora esperan una autenticación fuerte—esto no es opcional para una entrega fiable. ^[8]
• Considera añadir una política de reenvío/dominios aprobados y una herramienta de monitorización (OnDMARC/Red Sift) para que recibas alertas si aparecen intentos de suplantación. ^[9]

Plan de juego para ingresos y confianza a corto y medio plazo (1–6 semanas)

1) Reconstruye la confianza con un plan de comunicaciones preciso

• Publica una pieza larga explicando qué pasó, qué hiciste (exportaste la lista, revocaste tokens, activaste 2FA) y qué deben vigilar los suscriptores. La transparencia reduce la pérdida de clientes. (Manténlo factual y fechado.) ^[10]
• Ofrece una sesión opcional de preguntas en vivo o AMAs con suscriptores de pago para responder dudas y demostrar responsabilidad (aumenta la retención).

2) Convierte suscriptores en riesgo en ingresos de mayor compromiso (de forma segura)

Cuando la confianza flaquea, los miembros que eligen acceso más profundo y de pago tienen más probabilidades de quedarse si se sienten seguros y valorados. Considera una venta ascendente breve y de baja fricción:

• Ofrece una categoría limitada "primacía en seguridad": sala de chat privada + AMAs mensuales + acceso anticipado (incremento de $3–$7/mes). Mantén precios simples y claramente vinculados a valor extra.
• Realiza una campaña de retención dirigida a suscriptores de pago: recordatorios de renovación con un clic, una oferta de “gracias” (1 mes gratis por actualización anual) o un incentivo por referidos verificados.

3) Diversifica dónde residen tus ingresos (resiliencia de ingresos)

Exportar tu lista hace posible la migración. Si quieres reducir el riesgo de concentración en una plataforma, evalúa estas opciones:

Fuentes: visión general de precios de plataformas y guías recientes — Substack toma ~10%; Ghost/beehiiv usan Stripe y modelos de precios distintos. Usa esto para modelar el ROI de tu migración. ^[11]

Lista de verificación práctica para la migración (si decides moverte o añadir un espejo)

1. Exporta suscriptores (Substack Settings → Subscribers → Export). Guarda CSVs para segmentos gratuitos y de pago. ^[12]
2. Configura la plataforma destino (Ghost / beehiiv / ConvertKit) y conecta Stripe antes de importar miembros de pago. ^[13]
3. Importa el CSV, mapea etiquetas de pago/gratis, envía un correo de bienvenida a la migración con instrucciones claras y una opción fácil de baja. Prueba la entregabilidad en pequeños lotes primero.
4. Mantén Substack activo durante la migración; escalona invitaciones e incluye incentivos para migrar (contenido exclusivo, descuento). Monitoriza la pérdida semanalmente y ajusta los mensajes.

Lista técnica: entregabilidad de correo y anti‑phishing (obligatorio)

• Publica y verifica registros SPF, DKIM y DMARC para tu dominio; mueve DMARC a aplicación (p=quarantine → p=reject) solo después de monitorizar para evitar pérdidas accidentales de entrega. Los principales proveedores esperan esto en 2026. ^[14]
• Usa una herramienta de reputación/monitorización (Google Postmaster, Red Sift, OnDMARC) y suscríbete a los bucles de retroalimentación de quejas. ^[15]
• Exige 2FA para cualquier cuenta con acceso a suscriptores o pagos; rota claves API y webhooks.
• Publica una página de verificación canónica en tu sitio que liste canales oficiales para que los suscriptores puedan verificar mensajes (p. ej., “Los mensajes oficiales provienen de: [you@yourdomain.com] o mensajes de texto desde +1‑555‑222‑3333”).

Números reales para modelar el impacto (escenarios de ejemplo)

Ejemplos de comunicación a suscriptores (plantillas)

Qué monitorizar (KPIs) — 0–90 días

• Tasa de churn de suscriptores de pago (semanal) — cualquier valor >1.5–2%/semana señala problemas de mensajería o de confianza.
• Tasas de apertura y rebote del correo — caídas súbitas sugieren problemas de entregabilidad (arregla SPF/DKIM/DMARC). ^[17]
• Contactos de soporte sobre mensajes sospechosos — sigue el volumen y el origen.
• Tasa de adhesión a la migración si invitas suscriptores a una plataforma espejo.

Lecturas y herramientas adicionales

• Anuncio y cobertura de Substack (detalles de la divulgación). ^[18]
• Informes y análisis de seguridad (cobertura SANS / CSO). ^[19]
• Guías de autenticación de correo y DMARC (Red Sift, DMARC Report). ^[20]
• Recursos de precios de plataformas y migración (Ghost, beehiiv, análisis de precios de Substack). ^[21]

Nota: múltiples medios y outlets de seguridad indican que la brecha se descubrió el 3 de febrero de 2026 y que algunos actores amenazantes afirman vender ~700K registros. Trata cualquier contacto a tus suscriptores como de mayor riesgo hasta que confirmes lo contrario. ^[22]

Veredicto final — tres conclusiones prácticas (accionables)

Fuentes: divulgación y cobertura de Substack (The Verge, CSO Online), reportes sobre la brecha (TechRadar), SANS NewsBites, guías de seguridad de correo (Red Sift, DMARC Report), y recursos de precios/migración de plataformas (TechRadar, beehiiv, guías de migración de Ghost). ^[26]