마케팅 기술 기업 클라비요(Klaviyo)의 웹사이트에서 심각한 보안 결함이 발견되어, 신규 가입자들의 비밀번호를 포함한 개인 정보가 구글, 페이스북 등 제3자 광고 및 기술 기업에 유출되었을 가능성이 제기되었습니다. 사이버 보안 스타트업 멜루나(Melurna)의 보안 연구원 샘 자달리(Sam Jadali)는 클라비요의 가입 페이지 웹 양식이 최소 2024년 2월부터 2025년 11월까지, 그리고 아마도 더 오랜 기간 동안 잘못 설정되어 있었다고 밝혔습니다.
멜루나의 조사에 따르면, 이 잘못 설정된 양식을 통해 클라비요에 가입한 사용자들은 이메일 주소, 비밀번호는 물론 회사 이름, 웹사이트 주소, 전화번호 등의 정보가 웹사이트에 삽입된 제3자 추적기(tracker)를 통해 유출되었을 수 있습니다. 이 정보는 페이스북, 구글, 허브스팟(HubSpot), 마이크로소프트(Microsoft), 링크드인(LinkedIn), X(구 트위터) 등 여러 광고 및 기술 기업과 공유되었습니다. 클라비요는 테크크런치(TechCrunch)에 해당 버그를 수정했다고 확인했지만, 얼마나 많은 사용자가 영향을 받았는지에 대한 의문은 여전히 남아 있습니다. 클라비요 대변인은 영향을 받은 것으로 확인된 인원은 200명 미만이라고 밝혔으나, 로그 저장 기간이나 버그 활성화 기간에 대해서는 명확히 밝히지 않았습니다.
이번 사건은 웹사이트에 흔히 사용되는 제3자 추적기, 즉 ‘픽셀(pixel)’이 잘못 설정될 경우 사용자 데이터에 얼마나 큰 위험을 초래할 수 있는지를 다시 한번 보여줍니다. 픽셀은 웹사이트 소유자가 방문자 정보를 수집하여 사용 패턴을 이해하고 버그를 식별하는 데 도움을 주지만, 오설정될 경우 페이지에 입력된 개인 정보까지 공유할 수 있습니다. 이러한 보안 취약점은 애드블록(ad-block)과 같은 방어 도구를 사용하지 않는 사용자들에게 데이터 유출의 위험을 안겨주며, 기업들이 고객 데이터를 다루는 방식에 대한 경각심을 일깨우는 중요한 사례입니다. 클라비요는 20만 5천 명의 유료 고객을 보유하고 70억 개 이상의 고객 프로필을 관리하는 대규모 마케팅 플랫폼인 만큼, 이번 사건이 미칠 파장은 적지 않을 것으로 예상됩니다.