클라비요에 회원가입한 사람들의 비밀번호를, 페이스북과 구글이 받았어요. 해킹이 아니었어요. 그냥 회원가입 폼 설정을 하나 잘못했을 뿐이었죠. 그리고 이 실수, 당신 회사 폼에도 있을 수 있어요.

3초 요약
회원가입 폼 오설정 → 추적 픽셀이 비밀번호까지 캡처 → 메타·구글 등 6개사로 전송 → 공개 공시 없이 조용히 수정 → 내 폼 5분 자가진단

무슨 일이 있었냐면

마케팅 자동화 업체 클라비요(Klaviyo)의 회원가입 폼이 2024년 2월경부터 2025년 11월까지, 어쩌면 그보다 더 오래 오설정된 채로 방치돼 있었어요. 신규 가입자가 입력한 이메일, 비밀번호, 회사명, 웹사이트 주소, 전화번호가 폼에 붙어 있던 광고 추적 픽셀을 타고 Meta·Google·HubSpot·Microsoft·LinkedIn·X로 흘러갔고요.

발견한 사람은 보안 연구자 Sam Jadali예요. 자신이 세운 보안 스타트업 Melurna로 클라비요의 가입 양식을 테스트하다 발견했고, DEF CON 발표를 앞두고 TechCrunch에 먼저 공개했어요.

6개사
비밀번호를 받은 광고·기술 기업
200명 미만
클라비요가 밝힌 영향 규모(활성 로그 기준)
1년 반+
버그 활성 추정 기간

클라비요는 "애플리케이션 구성 문제"였다고 밝혔고, 버그를 고쳤으며 영향받은 사람에게 개별 통지했다고 주장해요. 그런데 로그 보관 기간을 공개하지 않아서, "200명 미만"이라는 숫자가 실제 피해 규모인지 아니면 그냥 남아있는 로그의 범위인지는 알 수 없어요. 그리고 공개 공시는 하지 않았어요. TechCrunch가 정확히 지적한 대목이에요 — 왜 공개하지 않았는지는 여전히 불분명하다고요.

근데 이거, 클라비요만의 문제가 아니에요

추적 픽셀이 폼 데이터를 통째로 삼켜버리는 사고, 사실 반복돼온 패턴이에요. 클라비요 사건을 이 계보 안에 놓고 보면 왜 무서운지가 더 분명해져요.

사건 노출된 정보 규모 발견 경위
클라비요 (2026 보도) 이메일·비밀번호·회사명·전화번호 200명 미만 (확인 불가) 보안연구자가 DEF CON 발표 전 공개
병원 Meta Pixel (2022~) 의료상태·진료주제·의사명·이메일 병원 3곳만 640만 명+ 보도 이후 환자 소송·주 법무장관 조사
세션 리플레이 연구 (프린스턴, 2018) 처방정보·성적·비밀번호 등 8,000개 사이트 대학 연구팀 전수조사

병원 사례가 특히 뼈아파요. 상위 병원 100곳 중 33곳이 예약·환자포털 페이지에 Meta Pixel을 붙여뒀는데, 이 픽셀이 폼 필드명과 클릭 데이터를 그대로 메타로 넘기고 있었어요. Novant Health 136만 명, Advocate Aurora Health 300만 명, WakeMed 49만 5천 명의 환자 정보가 이 경로로 새 나갔고, 지금도 소송이 진행 중이에요.

프린스턴 연구팀이 2018년에 밝힌 것도 같은 구조예요. 세션 리플레이 스크립트(사용자의 키 입력과 마우스 움직임을 그대로 기록하는 도구)가 상위 사이트 8,000곳에 심어져 있었고, Walgreens에서는 처방약 정보가, Gradescope에서는 학생 성적이 서드파티 서버로 넘어갔어요. 심지어 브라우저 비밀번호 관리자의 자동입력값을 가로채 비밀번호까지 유출시킨 스크립트도 4개 넘게 발견됐고요. 연구팀의 결론은 이거였어요 — 웹사이트 운영자 자신도 자기 사이트에서 뭐가 새고 있는지 모른다는 것.

이번이 처음이 아닌 발견자

Sam Jadali는 2019년에도 DataSpii를 밝혀낸 사람이에요. 브라우저 확장 프로그램이 Apple·Tesla·Blue Origin 등의 데이터를 약 400만 명 규모로 유출시킨 사건인데, Washington Post·Wired·Forbes 등에 대대적으로 보도됐어요. 같은 사람이 또 한 번, 이름 있는 회사에서 비밀번호가 새는 걸 잡아낸 거예요.

지금 5분이면 확인할 수 있어요

클라비요의 실수는 특별한 해킹 기술이 아니라 설정 점검 부재에서 나왔어요. 그러니 점검도 특별한 기술 없이 가능해요.

  1. 네트워크 탭에서 직접 눈으로 확인
    회원가입/로그인 폼에 테스트 값을 입력하고 제출한 뒤, 브라우저 개발자도구 Network 탭에서 facebook.com·google-analytics.com·doubleclick.net 등으로 나가는 요청을 열어보세요. 비밀번호나 개인정보 값이 그대로 들어있는지 확인하는 거예요.
  2. GTM 컨테이너 전수 감사
    Google Tag Manager를 쓴다면 등록된 태그 목록을 전부 훑어보세요. 언제 누가 왜 붙였는지 모르는 태그가 있다면, 그게 제일 위험한 태그예요.
  3. Meta Advanced Matching 설정 확인
    Meta Pixel의 Advanced Matching은 수동 설정 시 SHA-256으로 해싱해서 전송해요. Events Manager에서 이 옵션이 켜져 있다면 정확히 어떤 필드를 수집하도록 매핑돼 있는지 확인하고, 불필요한 필드는 빼세요.
  4. 민감 필드 마스킹
    Hotjar·Microsoft Clarity 같은 세션 리플레이 툴을 쓴다면 기본 제공되는 필드 마스킹 옵션이 켜져 있는지 확인하세요. 비밀번호·주민번호·카드번호 필드는 기본값이 아니라 직접 확인해야 하는 항목이에요.
  5. 분기별 재점검 일정 잡기
    한 번 점검하고 끝내지 마세요. 새 캠페인이나 새 도구가 붙을 때마다 태그도 같이 늘어나요. 캘린더에 분기 1회 반복 일정으로 넣어두는 게 제일 확실해요.
🔗

더 깊이 파고 싶다면

TechCrunch 원문
클라비요 사건을 처음 보도한 기사, 타임라인과 회사 공식 답변 전문
클라비요 이용자를 위한 대응 가이드
비밀번호 변경부터 MFA 활성화까지 실무 체크리스트
세션 리플레이 스크립트 연구(프린스턴)
8,000개 사이트에서 발견된 서드파티 추적의 실태
병원 Meta Pixel 사건 정리
같은 패턴이 의료 데이터에서 벌어졌을 때의 소송·규제 파장
GTM으로 GDPR 지키는 법
태그 감시·동의관리·데이터 최소화 실무 가이드
Meta Pixel Advanced Matching 공식 문서
자동/수동 매칭이 정확히 뭘 수집하고 어떻게 해싱하는지