Klaviyo 注册密码被发送给广告商：营销追踪为什么出现在密码页面
作者：韩启明｜OC 政策与安全编辑
韩启明
据 TechCrunch 报道，安全公司 Melurna 发现营销平台 Klaviyo 的注册页曾因应用配置错误，把新客户填写的邮箱、密码和公司信息发送给页面上的第三方追踪服务。Klaviyo 表示问题已经修复。
一句话结论：追踪像素本来用于统计页面行为，却在注册页获得了表单内容；当同一页面同时承担身份创建和广告归因，密码框就可能被一次错误配置变成营销事件参数。
研究者 Sam Jadali 称，错误至少从 2024 年 2 月持续到 2025 年 11 月，可能更早。注册信息可能传给 Facebook、Google、HubSpot、Microsoft、LinkedIn、X 等页面技术供应商，数据包括邮箱、密码、公司名称、网站和电话号码。
这并不表示这些公司主动要求 Klaviyo 收集密码，也不等于每个接收方都永久保存或使用了数据。风险来自 Klaviyo 页面把敏感字段传入第三方脚本或事件，之后数据会进入各供应商日志、广告系统和保留规则，Klaviyo 很难单方面证明所有副本都已删除。
Klaviyo 将原因称为“应用配置问题”，并表示依据现有活动日志，已知受影响人数少于 200，也通知了这些人员。但公司没有说明日志保留多久，也没有公开通知样本。若错误持续近两年而日志只覆盖较短时间，“少于 200”只能描述可见窗口，不能自动代表完整历史人数。
密码泄露的严重程度还取决于传输形态和用户复用。即使 Klaviyo 自己在服务端正确哈希密码，浏览器在提交前仍持有明文；第三方脚本若在这个阶段读取字段，服务端密码哈希无能为力。用户若在其他网站复用同一密码，影响也会超出 Klaviyo 账户。
最直接的防御是让注册、登录、重置密码和支付页面不加载广告追踪脚本，对 Content Security Policy、网络请求和前端事件做自动化检查，并使用 Passkey 或密码管理器生成唯一密码。广告归因不需要知道用户输入了什么，只需知道注册是否成功。
关键事实
- 错误被指至少存在于 2024 年 2 月至 2025 年 11 月
- 可能外传的数据包括邮箱、密码和公司联系信息
- Klaviyo 表示问题已修复，现有日志确认的受影响者少于 200
- 公司未公开日志覆盖期限，因此完整历史影响人数仍不确定
OC 判断
这不是普通 Cookie 争议，而是敏感表单与营销基础设施不应共享执行环境。任何组织都应默认把身份页面设为“无广告脚本区”，并把前端请求内容纳入安全测试，而不是只检查后端数据库有没有加密。
为什么重要
- 对用户：应为 Klaviyo 使用唯一密码，并检查是否在其他服务复用。
- 对网站开发者：密码哈希保护不了提交前被浏览器脚本读取的明文。
- 对广告平台：接收到疑似凭证字段时应自动拒绝、告警并缩短保留。
评论
围绕这篇文章补充信息、提出问题或分享观察。