アメリカのマーケティング技術大手「クラビヨ（Klaviyo）」のウェブサイトで設定ミスがあり、新規顧客のパスワードを含む個人情報が、外部の広告業者などに意図せず共有されていたことが、セキュリティ研究者の発表で明らかになりました。
サイバーセキュリティ企業「Melurna」の共同創業者でセキュリティ研究者のサム・ジャダリ氏によりますと、クラビヨの新規登録ページにあるウェブフォームで設定ミスがあったということです。この問題は、少なくとも2024年2月から11月にかけて発生していたとみられています。同氏は、ラスベガスで開催されるセキュリティ会議「Def Con」での講演に先立ち、この調査結果を公表しました。
この設定ミスにより、新規登録を行った顧客のメールアドレスやパスワード、企業名、ウェブサイトのURL、電話番号などの情報が漏えいした可能性があります。これらの情報は、同社のウェブサイトに追跡ツール（トラッカー）を埋め込んでいる外部企業に共有されていました。情報の共有先には、メタ（旧フェイスブック）やグーグル、マイクロソフトとその傘下のリンクトイン、X（旧ツイッター）などの大手IT企業や広告業者が含まれているということです。
クラビヨはアメリカ・ボストンに本社を置く企業で、20万5000社以上の有料顧客に対し、メールやテキストメッセージなどを活用した広告キャンペーンの配信サービスを提供しています。同社のウェブサイトによりますと、管理している顧客プロフィールは70億件以上に上るとしています。
報道機関の取材に対し、クラビヨの広報担当者はアプリケーションの設定に問題があったことを認め、すでにバグを修正したと明らかにしました。また、現在確認できるログの記録に基づき、影響を受けたのは200人未満であるとしています。同社は影響を受けた顧客に通知したと説明していますが、ログの保存期間やバグが存在していた正確な期間については回答を控えています。また、この問題をこれまで公表しなかった理由は明らかになっていません。
ウェブサイトの訪問者の行動を把握するための「ピクセル」と呼ばれる追跡ツールは、設定を誤ると、入力された個人情報を外部に送信してしまう危険性があります。近年、こうした設定ミスによる情報漏えいが相次いでおり、企業がデータ侵害の報告を迫られたり、規制当局が法的措置に乗り出したりするケースが増加しているということです。
