Klaviyo'da güvenlik açığı: Şifreler reklam devlerine sızdı

Güvenlik araştırmacıları, pazarlama teknolojisi şirketi Klaviyo'nun yeni müşterilerine ait kayıt bilgilerini ve şifrelerini dış reklam şirketleriyle paylaştığını tespit etti. Yapılan incelemeler, bu durumun güvenlik açıklarından kaynaklandığını ortaya koydu. — ARAŞTIRMANIN DETAYLARI —

Siber güvenlik girişimi Melurna'nın kurucu ortağı Sam Jadali, Klaviyo'nun kayıt sayfasındaki web formunun en az Şubat 2024 ile Kasım 2025 arasında yanlış yapılandırıldığını açıkladı. Bu sürenin daha da uzun olabileceği belirtildi. Şirketin test sonuçlarına göre, hatalı form üzerinden kayıt olan kişilerin bilgileri, web sitesinde yer alan takipçileri kullanan üçüncü taraf teknoloji devleriyle paylaşıldı.

Kayıt verileri arasında e-posta adresi, şifre, şirket adı, web sitesi adresi ve telefon numarası yer aldı. — REKLAM DEVLERİNE VERİ AKIŞI —

Bu bilgilerin paylaşıldığı şirketler arasında Facebook, Google, HubSpot, Microsoft, LinkedIn ve X platformu yer aldı. Melurna, bu bulguları Las Vegas'taki Def Con güvenlik konferansındaki konuşması öncesinde paylaştı. Klaviyo hatanın giderildiğini doğrulamasına rağmen, veri sızıntısından yıllar boyunca kaç kişinin etkilendiği konusu belirsizliğini koruyor. Boston merkezli pazarlama devi, 205 bin ödeme yapan müşterisinin e-posta ve kısa mesaj gibi kanallar üzerinden kampanya göndermesine imkan tanıyor. — 7 MİLYAR PROFİL YÖNETİYOR —

Klaviyo'nun web sitesinde 7 milyardan fazla müşteri profilini yönettiği ifade ediliyor. Bu açık, reklam engelleyiciler gibi koruyucu araçlar kullanılmadığında üçüncü taraf takipçilerin kullanıcılar için yarattığı veri risklerini gözler önüne seriyor. Web sitelerinde kullanılan "piksel" adı verilen takipçiler, site sahiplerinin ziyaretçiler hakkında bilgi toplamasını sağlıyor. Bu araçlar yanlış yapılandırıldığında, web sayfasına girilen kişisel bilgileri de dışarıya aktarabiliyor. — ŞİRKETTEN AÇIKLAMA —

Geçmiş yıllarda piksel takipçilerinin hatalı ayarlanması nedeniyle birçok şirket veri ihlali bildiriminde bulunmuş ve düzenleyici kurumlar yaptırım uygulamıştı. Klaviyo sözcüsü Danielle Zanatta, hatanın bir uygulama yapılandırma sorunundan kaynaklandığını doğruladı. Zanatta, aktif log kayıtlarına dayanarak etkilenen bilinen birey sayısının 200 kişiden az olduğunu belirtti.

Şirket, logları ne kadar süre sakladığını veya hatanın web sitesinde tam olarak ne kadar süre aktif kaldığını açıklamadı. Klaviyo, etkilenen bilinen kişilere bildirimde bulunduğunu aktardı ancak müşterilerle paylaşılan iletişimin kopyasını vermedi. Şirketin bu olayı neden kamuoyuna açıklamadığı ise henüz netleşmedi.