Data Bocor di Klaviyo, Password Pengguna Terbagi ke Iklan

Telset.id – Riset keamanan terbaru mengungkap bahwa Klaviyo, platform pemasaran digital raksasa, secara tidak sengaja membagikan data pendaftaran pelanggan barunya, termasuk kata sandi, kepada pengiklan pihak ketiga. Temuan ini disampaikan oleh Sam Jadali, peneliti keamanan sekaligus salah satu pendiri startup keamanan siber Melurna, kepada TechCrunch.

Insiden ini terjadi karena formulir web di halaman pendaftaran Klaviyo mengalami kesalahan konfigurasi setidaknya sejak Februari 2024 hingga November 2025, bahkan kemungkinan lebih lama. Pengujian yang dilakukan Melurna menunjukkan bahwa siapa pun yang mendaftar ke Klaviyo menggunakan formulir yang salah konfigurasi tersebut berpotensi mengalami kebocoran data pendaftaran ke pelacak pihak ketiga yang tertanam di situs web perusahaan.

Data yang bocor mencakup alamat email dan kata sandi pelanggan, serta nama perusahaan, alamat situs web, dan nomor telepon. Informasi ini diketahui terbagi ke sejumlah raksasa teknologi dan periklanan, termasuk Facebook dan Google, raksasa pemasaran HubSpot, Microsoft beserta anak perusahaannya LinkedIn, situs media sosial X, dan lainnya.

Melurna membagikan temuan ini kepada TechCrunch sebelum pemaparannya di konferensi keamanan Def Con di Las Vegas. Klaviyo sendiri telah mengonfirmasi kepada TechCrunch bahwa mereka telah memperbaiki bug di situs web tersebut. Namun, sejumlah pertanyaan masih menggantung, termasuk berapa banyak orang yang terdampak kebocoran data selama bertahun-tahun.

Perusahaan pemasaran yang berbasis di Boston ini memungkinkan 205.000 pelanggan berbayarnya untuk mengirim kampanye iklan melalui email, pesan teks, dan saluran lainnya. Situs web Klaviyo menyebutkan bahwa mereka mengelola lebih dari tujuh miliar profil pelanggan.

Insiden ini menggarisbawahi risiko data yang dapat ditimbulkan oleh pelacak pihak ketiga bagi pengguna situs web ketika tidak menggunakan alat pertahanan, seperti pemblokir iklan. Klaviyo menjadi perusahaan terbaru dalam beberapa tahun terakhir yang tertangkap karena secara tidak sengaja membagikan data dengan pihak luar.

Pelacak situs web, yang dikenal sebagai “pixel”, memungkinkan pemilik situs web dan aplikasi mengumpulkan informasi tentang pengunjung dan pengguna mereka, sering kali untuk memahami bagaimana aplikasi mereka digunakan dan untuk mengidentifikasi bug. Pelacak ini dapat salah dikonfigurasi sehingga juga membagikan informasi pribadi yang dimasukkan ke halaman web mana pun tempat mereka berada.

Dalam beberapa tahun terakhir, kelalaian keamanan yang berasal dari pelacak pixel yang salah konfigurasi telah mengakibatkan perusahaan mengajukan pengungkapan pelanggaran data dan regulator mengambil tindakan penegakan hukum.

Saat dihubungi TechCrunch, juru bicara Klaviyo, Danielle Zanatta, mengonfirmasi bahwa bug tersebut terkait dengan “masalah konfigurasi aplikasi”. Zanatta mengatakan jumlah individu yang diketahui terdampak kurang dari 200 orang, “berdasarkan log aktif yang mudah kami akses”.

Klaviyo tidak mau menyebutkan seberapa jauh mereka menyimpan log, atau berapa lama bug tersebut aktif di situs web mereka. Klaviyo mengatakan telah memberi tahu individu yang diketahui terdampak, tetapi tidak mau memberikan salinan komunikasi yang diduga dibagikan perusahaan kepada pelanggan yang terdampak saat diminta oleh TechCrunch.

Belum jelas mengapa perusahaan tidak mengungkapkan insiden ini secara publik.

Kronologi Temuan Kebocoran Data Klaviyo

Peneliti keamanan Sam Jadali menemukan bahwa formulir pendaftaran di situs Klaviyo salah konfigurasi dalam periode yang cukup panjang. Pengujian yang dilakukan startup-nya, Melurna, menunjukkan bahwa data yang dimasukkan pengguna ke formulir tersebut secara otomatis terbagi ke pelacak pihak ketiga.

Pelacak dari perusahaan seperti Facebook, Google, HubSpot, Microsoft, LinkedIn, dan X menerima data pendaftaran tersebut. Informasi yang terbagi meliputi kredensial login dan detail kontak bisnis, yang merupakan data sensitif bagi para pengguna layanan Klaviyo.

Temuan ini dipresentasikan di konferensi keamanan Def Con di Las Vegas. Presentasi tersebut menggarisbawahi bagaimana pelacak pihak ketiga yang tertanam di situs web dapat menjadi vektor kebocoran data jika tidak dikonfigurasi dengan benar.

Respons Klaviyo dan Dampak bagi Pengguna

Klaviyo membenarkan temuan tersebut dan menyebutnya sebagai “masalah konfigurasi aplikasi”. Pihak perusahaan mengklaim jumlah individu yang terdampak kurang dari 200 orang berdasarkan log aktif yang tersedia. Klaviyo juga mengaku telah memberi tahu individu yang terdampak.

Namun, perusahaan tidak merinci berapa lama bug tersebut aktif atau seberapa jauh mereka menyimpan log data. Ketidakjelasan ini memunculkan pertanyaan tentang skala penuh dari insiden kebocoran data tersebut.

Insiden ini menjadi pengingat akan pentingnya penggunaan alat pertahanan seperti pemblokir iklan saat berselancar di internet. Risiko dari pelacak pihak ketiga yang salah konfigurasi dapat mengancam keamanan data pengguna, seperti yang terjadi pada kasus Klaviyo ini.

Peristiwa ini juga menambah daftar panjang insiden kebocoran data akibat kesalahan konfigurasi pixel tracker. Dalam beberapa tahun terakhir, kasus serupa telah memicu pengungkapan pelanggaran data oleh perusahaan dan tindakan penegakan hukum dari regulator.

Bagi para pengguna layanan pemasaran digital, insiden ini menjadi perhatian serius terkait keamanan data. Meskipun Klaviyo telah memperbaiki bug tersebut, ketidakjelasan mengenai jumlah korban dan durasi kebocoran tetap menjadi catatan penting bagi industri.

Ke depannya, transparansi mengenai insiden keamanan data menjadi krusial. Perusahaan perlu lebih terbuka tentang detail kebocoran untuk membangun kepercayaan pengguna, terutama di tengah meningkatnya kekhawatiran tentang privasi data di era digital.