Who Gives A Crap: Kundendaten bei Marketing-Dienstleister geleakt

WGAC wurde am 6. November über das Problem bei einem „US-basierten Softwareanbieter“ informiert und veröffentlichte am Tag darauf Details. „Bisher haben wir keine Hinweise auf Missbrauch“, sagte Griffiths. Das Unternehmen trennte den Dienstleister vollständig von seinen Systemen, änderte Zugangsdaten, informierte Behörden und schrieb potenziell betroffene Kunden an. Diese sollen auf Phishing und andere Betrugsversuche achten.

Spur zu Klaviyo wirft Fragen auf

WGAC nennt den Anbieter nicht. Er habe Kundendaten genutzt, um die Wirksamkeit der Marketingausgaben auszuwerten. Das Unternehmen setzt statt bezahlter Werbung stark auf E-Mail; laut einer Fallstudie arbeitet es eng mit Klaviyo zusammen, dessen Tools die E-Mail-Liste in drei Jahren um 640 Prozent wachsen ließen. Dass Klaviyo in den Vorfall verwickelt ist, ist nicht bestätigt.

Sollte es doch so sein, könnte die Zahl der Betroffenen groß sein: Laut BuiltWith nutzen derzeit mehr als 752.000 Websites Klaviyo, rund 40.000 davon in Australien. Klaviyo hatte bereits 2022 einen Sicherheitsvorfall, bei dem E-Mail-Listen gestohlen wurden.

Marketingplattformen sind für Cyberkriminelle attraktiv, weil sie umfangreiche Daten über Kunden, Kaufverhalten und Vorlieben bündeln. Für WGAC-Kunden liegt das Risiko vor allem in gezielten Phishing-Mails mit echten persönlichen Angaben.

WGAC wurde 2012 gegründet, um den 2 Milliarden Menschen ohne sanitäre Versorgung zu helfen, hat bislang 20,9 Millionen Dollar gespendet und will bis 2028 insgesamt 50 Millionen erreichen. Die Untersuchung läuft weiter, in Abstimmung mit dem Dienstleister.