Klaviyo xavfsizlik xatosi tufayli foydalanuvchilar parollari sizib chiqqani aniqlandi

Marketing texnologiyalari sohasidagi yirik kompaniya sanalgan Klaviyo oʻzining roʻyxatdan oʻtish formasidagi sozlash xatoligi sababli yangi mijozlarning maxfiy maʼlumotlari, jumladan parollari va elektron pochta manzillarini uchinchi tomon reklamachilariga tasodifan ulashib kelgani maʼlum boʻldi. TechCrunch nashri tarqatgan xabarga koʻra, mazkur nosozlik ommaviy axborot vositalari va mutaxassislar eʼtiborini tortib, raqamli xavfsizlik borasidagi jiddiy muammolarni yana bir bor kun tartibiga olib chiqdi. Bu haqda Techcrunch.com xabar beradi.

Melurna kiberxavfsizlik startapi asoschilaridan biri va tadqiqotchi Sam Jadali aniqlaganidek, Klaviyo veb-saytidagi roʻyxatdan oʻtish formasi kamida 2024-yil fevralidan 2025-yil noyabrigacha, ehtimol undan ham uzoqroq muddat davomida notoʻgʻri sozlangan holatda ishlagan. Ushbu vaqt oraligʻida saytda roʻyxatdan oʻtgan foydalanuvchilarning maʼlumotlari saytga oʻrnatilgan turli uchinchi tomon trekerlari va reklama gigantlariga uzatib yuborilgani aniqlangan.

Trekerlar orqali sizib chiqqan maʼlumotlar

Tadqiqotchilarning taʼkidlashicha, xavfsizlik boʻshligʻi orqali nafaqat foydalanuvchining elektron pochtasi va paroli, balki kompaniya nomi, veb-sayt manzili hamda telefon raqamlari kabi qimmatli maʼlumotlar ham oshkor boʻlib ketgan. ixbt.com va TechCrunch maʼlumotlariga koʻra, bu kabi maxfiy maʼlumotlar Facebook, Google, Microsoft va uning shoʻba korxonasi boʻlgan LinkedIn, shuningdek HubSpot hamda X ijtimoiy tarmoqi kabi yirik texnologik va marketing platformalariga borib tushgan.

Boston shahrida joylashgan Klaviyo marketing giganti oʻzining 205 mingdan ortiq toʻlovchi mijozlariga elektron pochta, matnli xabarlar va boshqa kanallar orqali reklama kampaniyalarini boshqarishda yordam beradi. Kompaniya rasmiy veb-saytidagi maʼlumotlarga tayanilsa, tizim yetti milliarddan ortiq mijozlar profillarini boshqaradi. Ushbu koʻlam maʼlumotlar sizib chiqishi xavfi qanchalik ulkan boʻlishi mumkinligini koʻrsatadi.

Kompaniyaning rasmiy munosabati va xavfsizlik choralari

Melurna startapi vakillari oʻz topilmalarini Las-Vegasdagi Def Con xavfsizlik konferensiyasida taqdim etishidan avval TechCrunch nashri bilan boʻlishishgan. Shundan soʻng Klaviyo rahbariyati veb-saytdagi xatolik bartaraf etilganini tasdiqlagan. Biroq yillar davomida sodir boʻlgan ushbu holatdan qancha foydalanuvchi jabr koʻrgani va zaxira loglari qancha muddat saqlanishi haqidagi savollar ochiqligicha qolmoqda.

Klaviyo matbuot kotibi Danielle Zanatta TechCrunch nashriga bergan intervyusida mazhum nosozlik «ilovani sozlash muammosi» tufayli kelib chiqqanini bildirgan. Uning soʻzlariga koʻra, mavjud faol loglarga tayanilsa, jabrlangani aniqlangan shaxslar soni 200 nafardan kamroqni tashkil etadi. Biroq kompaniya loglar qancha vaqt saqlanishi yoki xatolik aslida qachondan buyon faol boʻlganini oshkor qilishdan bosh tortgan.

Mutaxassislarning eslatishicha, ushbu hodisa veb-saytlarga oʻrnatiladigan «piksellar» deb nomlanuvchi uchinchi tomon trekerlari himoya vositalari, masalan, ad-blockerlar ishlatilmaganda qanchalik xavf tugʻdirishi mumkinligini yana bir bor isbotladi. Soʻnggi yillarda aynan notoʻgʻri sozlangan trekerlar tufayli koʻplab kompaniyalar maʼlumotlar sizib chiqishi haqida xabar berishga majbur boʻlgan va regulyatorlar tomonidan jiddiy choralar koʻrilgan.