قمت بالتسجيل في Klaviyo؟ ربما يكون العشرات من المعلنين قد شاهدوا كلمة المرور الخاصة بك

وجدت الأبحاث الأمنية التي تم الكشف عنها حديثًا أنه حتى وقت قريب، كانت شركة تكنولوجيا التسويق العملاقة Klaviyo تشارك عن غير قصد معلومات الاشتراك الخاصة بعملائها الجدد، بما في ذلك كلمات المرور الخاصة بهم، مع المعلنين الخارجيين.

صرح Sam Jadali، الباحث الأمني ​​والمؤسس المشارك لشركة Melurna الناشئة للأمن السيبراني، لـ TechCrunch أن نموذج الويب الموجود على صفحة الاشتراك في Klaviyo تمت تهيئته بشكل خاطئ في الفترة ما بين فبراير 2024 على الأقل حتى نوفمبر 2025، على الرغم من أنه من المحتمل أن يكون أطول.

وجدت اختبارات الشركة الناشئة أن أي شخص قام بالتسجيل في Klaviyo باستخدام النموذج الذي تم تكوينه بشكل خاطئ ربما تمت مشاركة معلومات الاشتراك الخاصة به مع أي من عمالقة التكنولوجيا والمعلنين التابعين لجهات خارجية والذين تم تضمين أدوات التتبع الخاصة بهم أيضًا على موقع الشركة على الويب.

تضمنت بيانات الاشتراك عنوان البريد الإلكتروني وكلمة المرور للعميل، بالإضافة إلى اسم الشركة وعنوان موقع الويب ورقم الهاتف. تمت مشاركة هذه المعلومات مع عمالقة الإعلان والتكنولوجيا بما في ذلك فيسبوك وجوجل؛ عملاق التسويق HubSpot؛ مايكروسوفت وشركتها التابعة لينكدإن؛ موقع التواصل الاجتماعي X، وغيرها.

شاركت الشركة الناشئة النتائج التي توصلت إليها مع TechCrunch قبل حديثها في مؤتمر Def Con الأمني ​​في لاس فيغاس.

أكدت Klaviyo لـ TechCrunch أنها أصلحت الخلل في موقع الويب، لكن الأسئلة لا تزال قائمة حول الحادث، بما في ذلك عدد الأشخاص الذين تأثروا بتسرب البيانات على مر السنين. تسمح شركة التسويق العملاقة ومقرها بوسطن لعملائها الذين يدفعون 205000 بإرسال حملات إعلانية عبر البريد الإلكتروني والرسائل النصية والقنوات الأخرى. يقول موقع Klaviyo على الويب إنه يدير أكثر من سبعة مليارات من الملفات الشخصية للعملاء.

يسلط الخطأ الضوء على مخاطر البيانات التي يمكن أن تشكلها أدوات التتبع التابعة لجهات خارجية لمستخدمي موقع الويب عند عدم استخدام أدوات دفاعية، مثل أدوات حظر الإعلانات. Klaviyo هي أحدث شركة في السنوات الأخيرة تم اكتشافها من خلال مشاركة البيانات عن غير قصد مع الغرباء.

تسمح أدوات تتبع مواقع الويب، المعروفة باسم "البكسلات"، لأصحاب مواقع الويب والتطبيقات بجمع معلومات حول زوارهم ومستخدميهم، غالبًا لفهم كيفية استخدام تطبيقاتهم وتحديد الأخطاء. يمكن تكوين أجهزة التتبع هذه بشكل خاطئ لمشاركة المعلومات الشخصية التي تم إدخالها في أي صفحة ويب موجودة عليها.

في السنوات القليلة الماضية، أدت الهفوات الأمنية الناجمة عن أجهزة تعقب البكسل التي تم تكوينها بشكل خاطئ إلى قيام الشركات بتقديم إفصاحات عن خرق البيانات واتخاذ المنظمين إجراءات تنفيذية.

وعندما تواصلت معها TechCrunch، أكدت المتحدثة باسم Klaviyo، دانييل زاناتا، أن الخطأ كان مرتبطًا بـ "مشكلة في تكوين التطبيق". وقال زاناتا إن عدد الأفراد المعروفين المتأثرين كان أقل من 200 شخص، "بناءً على سجلاتنا النشطة المتاحة بسهولة". ولم يذكر Klaviyo المدة التي يخزن فيها السجلات، أو المدة التي كان فيها الخطأ نشطًا على موقعه على الإنترنت.

قالت Klaviyo إنها أخطرت الأفراد المعروفين المتأثرين، لكنها لم تقدم نسخة من الرسالة التي يُزعم أن الشركة شاركتها مع العملاء المتأثرين عندما سألتها TechCrunch.

ومن غير الواضح لماذا لم تكشف الشركة عن الحادث علنًا.