Klaviyo'daki güvenlik hatası nedeniyle kullanıcı parolalarının sızdığı ortaya çıktı

Pazarlama teknolojileri alanında önde gelen şirketlerden biri olan Klaviyo'nun, kayıt formundaki yapılandırma hatası nedeniyle yeni müşterilerin parolaları ve e-posta adresleri dahil gizli verilerini yanlışlıkla üçüncü taraf reklamverenlerle paylaştığı ortaya çıktı. TechCrunch'ın haberine göre bu sorun, medya ve uzmanların dikkatini çekerek dijital güvenlikle ilgili ciddi sorunları bir kez daha gündeme taşıdı. Bu konuda Techcrunch.com haber veriyor.

Melurna siber güvenlik girişiminin kurucu ortağı ve araştırmacı Sam Jadali'nin tespitlerine göre Klaviyo'nun web sitesindeki kayıt formu en az Şubat 2024'ten Kasım 2025'e kadar, muhtemelen daha uzun süre boyunca yanlış yapılandırılmış şekilde çalıştı. Bu dönem boyunca siteye kaydolan kullanıcıların verilerinin, siteye yerleştirilen çeşitli üçüncü taraf izleyicilere ve reklam devlerine aktarıldığı belirlendi.

İzleyiciler aracılığıyla sızdırılan veriler

Araştırmacılar, güvenlik açığı nedeniyle yalnızca kullanıcıların e-posta adresleri ve parolalarının değil, şirket adı, web sitesi adresi ve telefon numarası gibi değerli bilgilerin de ifşa edildiğini belirtiyor. ixbt.com ve TechCrunch'a göre bu tür gizli veriler Facebook, Google, Microsoft ve onun iştiraki LinkedIn'in yanı sıra HubSpot ve X sosyal ağı gibi büyük teknoloji ve pazarlama platformlarına ulaştı.

Boston merkezli pazarlama devi Klaviyo, 205 binden fazla ödeme yapan müşterisinin e-posta, kısa mesaj ve diğer kanallar üzerinden reklam kampanyalarını yönetmesine yardımcı oluyor. Şirketin resmi web sitesindeki bilgilere göre sistem, yedi milyardan fazla müşteri profilini yönetiyor. Bu ölçek, veri sızıntısı riskinin ne kadar büyük olabileceğini gösteriyor.

Şirketin resmi açıklaması ve güvenlik önlemleri

Melurna girişiminin temsilcileri, bulgularını Las Vegas'taki Def Con güvenlik konferansında sunmadan önce TechCrunch ile paylaştı. Bunun ardından Klaviyo yönetimi, web sitesindeki hatanın giderildiğini doğruladı. Ancak yıllar boyunca devam eden bu olaydan kaç kullanıcının etkilendiği ve yedek günlüklerin ne kadar süre saklandığı soruları yanıtlanmadan kaldı.

Klaviyo sözcüsü Danielle Zanatta, TechCrunch'a verdiği röportajda söz konusu arızanın bir «uygulama yapılandırma sorunundan» kaynaklandığını söyledi. Zanatta'ya göre mevcut etkin günlük kayıtlarına dayanıldığında, etkilendiği tespit edilen kişi sayısı 200'den az. Ancak şirket, günlüklerin ne kadar süre saklandığını veya hatanın gerçekte ne zamandan beri etkin olduğunu açıklamayı reddetti.

Uzmanlar, bu olayın web sitelerine yerleştirilen ve «piksel» olarak adlandırılan üçüncü taraf izleyicilerin, ad-blocker gibi koruma araçları kullanılmadığında ne kadar büyük bir risk oluşturabileceğini bir kez daha kanıtladığını belirtiyor. Son yıllarda birçok şirket, yanlış yapılandırılmış izleyiciler nedeniyle veri sızıntılarını bildirmek zorunda kaldı ve düzenleyiciler tarafından ciddi yaptırımlarla karşı karşıya kaldı.