Si abriste cuenta en Klaviyo entre 2024 y 2025, tu contraseña pudo acabar en Google, Meta y LinkedIn

No hubo ataque, ni intrusión, ni contraseñas puestas a la venta. Hubo algo más incómodo por lo cotidiano: un formulario de registro mal configurado que iba entregando a los rastreadores publicitarios los datos que la gente escribía en él, contraseña incluida.

Le ha pasado a Klaviyo, una de las plataformas de email y SMS más usadas por el comercio electrónico.

Qué se compartió, y con quién

Según la investigación de Sam Jadali, cofundador de la empresa de ciberseguridad Melurna, presentada en la conferencia Def Con y adelantada por TechCrunch:

El formulario de alta estuvo mal configurado al menos entre febrero de 2024 y noviembre de 2025, y probablemente más tiempo.
Lo que salía de ahí era el correo electrónico y la contraseña, más el nombre de la empresa, su dirección web y el teléfono.
Y llegaba a los rastreadores incrustados en la propia web de Klaviyo: los de Facebook y Google, HubSpot, Microsoft y su filial LinkedIn, X y otros.

Es decir: quien creó una cuenta en ese periodo pudo entregar su contraseña, sin saberlo, a media docena de plataformas publicitarias.

Qué dice Klaviyo

La empresa confirmó a TechCrunch que corrigió el fallo y lo describió como un «problema de configuración de la aplicación». Su portavoz, Danielle Zanatta, afirmó que los afectados conocidos son menos de 200 personas, «según nuestros registros activos disponibles».

Los dos números que no encajan

Aquí está el punto que conviene mirar despacio, sin sacar conclusiones que nadie ha demostrado:

El investigador habla de un fallo activo al menos 21 meses.
La empresa habla de menos de 200 afectados, y matiza que esa cifra sale de los registros que tiene «disponibles».
Klaviyo no ha querido decir cuánto tiempo conserva esos registros, ni durante cuánto tiempo estuvo activo el fallo.

Sin ese dato, las dos cifras no se pueden reconciliar: un recuento limitado por los registros que quedan no dice cuánta gente pasó por el formulario en 21 meses. Klaviyo dice haber avisado a los afectados conocidos, pero no facilitó copia de ese aviso cuando se la pidieron, y no comunicó el incidente públicamente.

Para dimensionarlo: Klaviyo tiene 205.000 clientes de pago y su web afirma gestionar más de 7.000 millones de perfiles de consumidores.

Si abriste cuenta en ese periodo

Cambia la contraseña de Klaviyo. Es gratis y tarda un minuto.
Cámbiala donde la hayas reutilizado. El riesgo real de una contraseña filtrada casi nunca está en el sitio donde se filtró.
Activa la verificación en dos pasos en la cuenta.

Y ahora la parte que va contigo, no con Klaviyo

Es tentador leer esto como el error de una empresa. Conviene leerlo de otra manera: los píxeles de seguimiento pueden capturar lo que la gente escribe en los formularios de tu web, y ese comportamiento se activa por configuración, no por malicia. El mismo tipo de etiqueta que instalas para medir conversiones es el que aquí se llevó contraseñas.

Tres comprobaciones que puedes hacer esta semana:

Mira qué campos captura tu píxel en las páginas con formularios: alta, acceso, recuperación de contraseña, checkout.
Desactiva la captura automática de campos donde no la necesites, en lugar de dejarla por defecto.
Revisa las páginas sensibles con las herramientas de desarrollo del navegador y observa qué sale hacia terceros al enviar el formulario. Es la única forma de verlo con tus ojos.

Viene al caso porque no es un problema del pasado: el 17 de agosto OpenAI activa por defecto el emparejamiento avanzado en los píxeles ya existentes de ChatGPT Ads, que usa precisamente información de los formularios de tu web. Configurar eso a conciencia deja de ser opcional.

Información publicada por TechCrunch el 10 de agosto de 2026, firmada por su editor de seguridad, Zack Whittaker. Las traducciones son nuestras.

Para seguir: el emparejamiento automático que ChatGPT Ads activa el 17 de agosto el Social Marketing que lanzó Klaviyo en julio lo que opina la gente de la publicidad dentro de la IA.

Foto de portada: «Username and password», de Santeri Viinamäki, bajo licencia CC BY-SA 4.0.