Cekricek.id — Formulir pendaftaran di situs Klaviyo, penyedia layanan pemasaran surel dan pesan otomatis asal Amerika Serikat, salah dikonfigurasi sehingga mengirimkan kata sandi calon penggunanya ke sejumlah perusahaan periklanan dan teknologi.
Dikutip dari TechCrunch, Senin (10/8/2026), data yang ikut mengalir keluar tidak berhenti pada kata sandi. Alamat surel, nama perusahaan, alamat situs, dan nomor telepon yang diketik pada formulir itu juga terkirim. Penerimanya antara lain Facebook, Google, HubSpot, Microsoft, LinkedIn, dan X.
Penyebabnya adalah pelacak iklan atau tracking pixel, yaitu potongan kode kecil yang dipasang perusahaan pada halaman situsnya untuk mengukur perilaku pengunjung dan menyasar iklan. Pada kasus ini pelacak tersebut ikut menyalin isi kolom formulir, termasuk kolom kata sandi yang seharusnya tidak pernah keluar dari sistem Klaviyo.
Klaviyo menjual perangkat lunak otomatisasi pemasaran: peritel daring memakainya untuk mengirim surel dan pesan singkat massal kepada pembelinya berdasarkan riwayat belanja. Halaman pendaftaran yang bermasalah itu adalah titik masuk pertama bagi pemilik toko yang hendak berlangganan layanan tersebut.
Ditemukan Peneliti Keamanan
Temuan itu berasal dari Sam Jadali, peneliti keamanan sekaligus salah satu pendiri perusahaan rintisan keamanan siber Melurna. “Formulir web pada halaman pendaftaran Klaviyo salah dikonfigurasi setidaknya sejak Februari 2024 sampai November 2025,” kata Jadali, seperti dikutip TechCrunch. Ia menilai rentang waktunya kemungkinan lebih panjang dari periode yang berhasil ia uji.
Jadali berencana memaparkan temuannya dalam konferensi keamanan siber Def Con di Las Vegas, ajang tahunan tempat peneliti keamanan mengumumkan celah yang mereka temukan.
Klaviyo Sebut Masalah Konfigurasi
Klaviyo membenarkan adanya persoalan tersebut dan menyatakan sudah memperbaikinya. Danielle Zanatta, juru bicara Klaviyo, menyebut penyebabnya sebagai “masalah konfigurasi aplikasi”. Menurut dia jumlah orang terdampak yang diketahui kurang dari 200 orang, “berdasarkan log aktif yang tersedia bagi kami”.
Perusahaan memberi tahu pelanggan yang terdampak, tetapi menolak menyerahkan salinan pemberitahuan itu kepada TechCrunch. Klaviyo juga tidak mengumumkan insiden tersebut kepada publik, sehingga temuan Jadali menjadi keterangan terbuka pertama soal kejadian ini.
Angka kurang dari 200 orang yang disebut Zanatta bersandar pada log yang masih tersimpan aktif di sistem perusahaan. Jadali sendiri menyatakan kesalahan konfigurasi itu berjalan setidaknya selama periode yang ia uji, dan besar kemungkinan lebih lama dari itu.
Skala Layanan yang Terlibat
Klaviyo bukan layanan kecil. Perusahaan itu melayani 205.000 pelanggan berbayar dan mengelola tujuh miliar profil pelanggan di seluruh dunia. Sebagian besar kliennya adalah peritel daring yang menitipkan basis data pembelinya untuk keperluan kampanye pemasaran.
Kata sandi yang bocor ke pihak ketiga menyimpan risiko lanjutan karena banyak orang memakai kata sandi yang sama untuk beberapa layanan sekaligus. Satu kombinasi surel dan kata sandi yang jatuh ke tangan yang salah bisa dipakai membuka akun lain milik orang yang sama, praktik yang dikenal sebagai credential stuffing.
Insiden ini juga menyoroti pelacak iklan sebagai titik lemah yang jarang diperiksa. Pelacak dipasang untuk kebutuhan pemasaran, bukan untuk menangani data pribadi, tetapi ia berjalan di halaman yang sama dengan formulir yang menampung informasi paling sensitif. Kesalahan konfigurasi kecil pada satu kolom sudah cukup membuat data itu ikut terkirim ke perusahaan teknologi yang tidak pernah dituju penggunanya.
