Une faille de sécurité chez Klaviyo a exposé les mots de passe des utilisateurs

Klaviyo, considérée comme une grande entreprise du secteur des technologies marketing, aurait accidentellement partagé avec des annonceurs tiers les données confidentielles de nouveaux clients, notamment leurs mots de passe et adresses e-mail, en raison d’une erreur de configuration de son formulaire d’inscription. Selon TechCrunch, cette défaillance a attiré l’attention des médias et des spécialistes, remettant une fois de plus au premier plan les graves problèmes liés à la sécurité numérique. Techcrunch.com rapporte cette information.

Comme l’a découvert Sam Jadali, chercheur et cofondateur de la startup de cybersécurité Melurna, le formulaire d’inscription du site de Klaviyo a fonctionné avec une mauvaise configuration au moins de février 2024 à novembre 2025, et peut-être plus longtemps. Durant cette période, les données des utilisateurs inscrits sur le site ont été transmises à divers traceurs tiers intégrés au site ainsi qu’à de grands acteurs de la publicité.

Les données divulguées par les traceurs

Selon les chercheurs, la faille de sécurité a exposé non seulement les adresses e-mail et les mots de passe des utilisateurs, mais aussi des informations précieuses telles que le nom de l’entreprise, l’adresse du site web et les numéros de téléphone. D’après ixbt.com et TechCrunch, ces données confidentielles sont parvenues à de grandes plateformes technologiques et marketing comme Facebook, Google, Microsoft et sa filiale LinkedIn, ainsi qu’à HubSpot et au réseau social X.

Basé à Boston, le géant du marketing Klaviyo aide plus de 205 000 clients payants à gérer leurs campagnes publicitaires par e-mail, SMS et d’autres canaux. Selon les informations publiées sur le site officiel de l’entreprise, son système gère les profils de plus de sept milliards de clients. Cette ampleur montre à quel point le risque lié à une fuite de données pourrait être considérable.

La réaction officielle de l’entreprise et les mesures de sécurité

Les représentants de la startup Melurna ont partagé leurs découvertes avec TechCrunch avant de les présenter lors de la conférence de sécurité Def Con à Las Vegas. Klaviyo a ensuite confirmé que l’erreur présente sur son site avait été corrigée. Toutefois, des questions restent sans réponse, notamment le nombre d’utilisateurs touchés par cet incident survenu pendant des années et la durée de conservation des logs de sauvegarde.

Dans un entretien accordé à TechCrunch, la porte-parole de Klaviyo, Danielle Zanatta, a déclaré que la défaillance en question résultait d’un « problème de configuration de l’application ». Selon elle, l’examen des logs actifs disponibles indique que moins de 200 personnes ont été identifiées comme victimes. L’entreprise a toutefois refusé de révéler combien de temps les logs sont conservés ou depuis quand l’erreur était réellement active.

Les spécialistes rappellent que cet incident prouve une fois de plus le danger que peuvent représenter les traceurs tiers, appelés « pixels », installés sur les sites web lorsqu’aucun outil de protection, comme les bloqueurs de publicités, n’est utilisé. Ces dernières années, de nombreuses entreprises ont dû signaler des fuites de données causées par des traceurs mal configurés, tandis que les autorités de régulation ont pris des mesures sévères.