Una falla de seguridad de Klaviyo expuso las contraseñas de los usuarios

Klaviyo, considerada una gran empresa del sector de la tecnología de marketing, habría compartido accidentalmente con anunciantes externos los datos confidenciales de nuevos clientes, incluidas sus contraseñas y direcciones de correo electrónico, debido a un error de configuración en su formulario de registro. Según TechCrunch, el fallo llamó la atención de los medios y los especialistas, y volvió a poner en primer plano los graves problemas de seguridad digital. Techcrunch.com informa sobre ello.

Sam Jadali, investigador y cofundador de la startup de ciberseguridad Melurna, descubrió que el formulario de registro del sitio web de Klaviyo funcionó con una configuración incorrecta al menos desde febrero de 2024 hasta noviembre de 2025, y posiblemente durante más tiempo. En ese periodo, los datos de los usuarios que se registraron en el sitio se transmitieron a varios rastreadores de terceros integrados en la web y a grandes empresas de publicidad.

Datos filtrados a través de rastreadores

Según los investigadores, la brecha de seguridad expuso no solo el correo electrónico y la contraseña de los usuarios, sino también información valiosa como el nombre de la empresa, la dirección del sitio web y los números de teléfono. De acuerdo con ixbt.com y TechCrunch, estos datos confidenciales llegaron a grandes plataformas tecnológicas y de marketing como Facebook, Google, Microsoft y su filial LinkedIn, además de HubSpot y la red social X.

El gigante del marketing Klaviyo, con sede en Boston, ayuda a más de 205.000 clientes de pago a gestionar campañas publicitarias por correo electrónico, mensajes de texto y otros canales. Según la información de su sitio web oficial, el sistema administra los perfiles de más de siete mil millones de clientes. Esta magnitud demuestra lo enorme que podría ser el riesgo de una filtración de datos.

Respuesta oficial de la empresa y medidas de seguridad

Los representantes de la startup Melurna compartieron sus hallazgos con TechCrunch antes de presentarlos en la conferencia de seguridad Def Con, celebrada en Las Vegas. Posteriormente, la dirección de Klaviyo confirmó que el error del sitio web había sido corregido. Sin embargo, siguen abiertas preguntas como cuántos usuarios se vieron afectados por este incidente, que se prolongó durante años, y durante cuánto tiempo se conservan los logs de respaldo.

En una entrevista con TechCrunch, la portavoz de Klaviyo, Danielle Zanatta, declaró que el fallo se debió a un «problema de configuración de la aplicación». Según sus palabras, los logs activos disponibles indican que se ha identificado a menos de 200 personas afectadas. Sin embargo, la empresa se negó a revelar cuánto tiempo conserva los logs o desde cuándo estaba realmente activo el error.

Los especialistas recuerdan que este incidente demostró una vez más el peligro que pueden suponer los rastreadores de terceros, conocidos como «píxeles», instalados en los sitios web cuando no se utilizan herramientas de protección como los bloqueadores de anuncios. En los últimos años, numerosas empresas se han visto obligadas a informar de filtraciones de datos causadas por rastreadores mal configurados, y los reguladores han tomado medidas contundentes.