Un'indagine sulla sicurezza ha rivelato un grave incidente su Klaviyo, piattaforma di email marketing. A causa di una configurazione errata dei form di registrazione, indirizzo email e password, insieme a nome dell'azienda, sito web e numero di telefono, sono stati condivisi con numerosi inserzionisti e giganti della tecnologia. Il problema è stato attivo da febbraio 2024 a novembre 2025, tramite tracker integrati. Il ricercatore Sam Jadali (Melurna) ha identificato questa mal configurazione, che permetteva ai tracker di raccogliere informazioni sensibili all'iscrizione.
Tra i destinatari figurano colossi come Facebook, Google, HubSpot, Microsoft (inclusa LinkedIn) e X. Klaviyo ha confermato la risoluzione, stimando 'meno di 200 individui noti' coinvolti, basandosi sui log attivi.
Rischi e impatto potenziale
Klaviyo serve circa 205.000 clienti paganti e gestisce oltre sette miliardi di profili. Nonostante il numero di utenti esposti sembri contenuto, il potenziale danno derivante dalla condivisione di password ed email in chiaro è significativo. Questi dati possono essere sfruttati per attacchi di phishing e credential stuffing, specialmente se combinati con altre informazioni aziendali.
I pericoli dei tracker di terze parti
L'incidente sottolinea i rischi legati ai tracker di terze parti integrati nei form online.
Sebbene la raccolta di dati tramite cookie e tecnologie di tracciamento sia comune per marketing o analisi, la condivisione di dati altamente sensibili come le password rivela un fallimento evidente nei meccanismi di difesa e nella governance dei dati.
Soluzioni, prevenzione e visibilità
La falla di Klaviyo illustra come la proliferazione di tracker e script esterni, se non controllati, possa diffondere dati di accesso sensibili. Le lezioni fondamentali includono l'isolamento dei form di registrazione dai tracker pubblicitari, l'implementazione della Content Security Policy (CSP) e la disabilitazione dei tracker in contesti di input sensibili. Strumenti come quelli di Melurna, che identificano fughe di dati nascoste e offrono 'privacy risk intelligence' con visibilità completa, sono essenziali per intercettare flussi di dati imprevisti.
In un ecosistema digitale sempre più interconnesso, la protezione dei dati deve evolvere in una visibilità attiva e continua su tutti i livelli tecnici e organizzativi.
