Pelanggan lain dari startup bermasalah Delve mengalami insiden keamanan besar

Kisah mengenai startup kepatuhan Delve yang menghadapi tantangan terus mengalami liku-liku.

TechCrunch telah mengkonfirmasi bahwa Delve adalah perusahaan kepatuhan yang melakukan sertifikasi keamanan untuk Context AI, startup pelatihan agen AI yang minggu lalu mengungkapkan insiden keamanan yang menyebabkan pelanggaran data di aplikasi populer dan raksasa hosting situs web Vercel.

Di sisi lain, Lovable yang mengalami insiden keamanannya sendiri, bukan lagi pelanggan Delve.

Ringkasnya: Bulan lalu, Delve mendapat kecaman ketika seorang pengungkap fakta (whistleblower) yang tidak disebutkan namanya menuduh hal tersebut startup tersebut memalsukan data pelanggandan menggunakan auditor yang memberikan stempel dalam proses kepatuhan dan sertifikasinya. Delve membantah tuduhan tersebut.

Segera setelah itu, peretas menyerang salah satu pelanggan sertifikasi keamanan Delve, LiteLLMdan menanam malware dalam kode sumber terbukanya. Setelah kejadian itu, LiteLLM kata TechCrunch itu membuang Delve dan mendapatkan sertifikasi ulang.

Delve juga dituduh mengambil alat open source dan menyebarkannya sebagai karyanya sendiri tanpa atribusi lisensi yang sesuai. Reputasi startup tersebut semakin goyah Y Combinator, tempat Delve lulusuntuk memutuskan hubungan.

Maju cepat ke akhir pekan lalu, Vercel mengatakan ada peretas yang melakukannya melanggar sistem internalnya dan mengakses beberapa data pelanggan. Perusahaan mengatakan peretas masuk setelah seorang karyawan mengunduh aplikasi yang dibuat oleh Context AI dan menghubungkan aplikasi tersebut ke akun perusahaan Vercel yang dihosting oleh Google. Para peretas menyalahgunakan akses karyawan tersebut ke akun Google mereka untuk membobol beberapa sistem internal Vercel.

Setelah Context AI disebutkan dalam serangan Vercel, Gergely Orosz, penulis buletin teknik, The Pragmatic Engineer, berkata dalam postingan di X bahwa Delve adalah perusahaan yang menangani sertifikasi keamanan Context AI.

Context AI kini telah mengkonfirmasi kepada TechCrunch bahwa mereka memang menggunakan Delve, tetapi sejak itu mereka menghentikan startup tersebut dan sedang dalam proses mendapatkan sertifikasi ulang.

“Ya, Context sebelumnya adalah pelanggan Delve,” kata juru bicara Context AI kepada TechCrunch. “Setelah pelaporan seputar Delve pada bulan Maret, kami mengalihkan program kepatuhan kami ke Vanta dan melibatkan Insight Assurance, sebuah firma audit independen, untuk melakukan pemeriksaan baru. Sebagai bagian dari pemeriksaan ulang, kami mulai memperbarui materi publik kami, dan kami akan membagikan pengesahan baru setelah selesai,” tambah juru bicara tersebut.

Sertifikasi keamanan saja tidak menghentikan masalah keamanan. Mereka dimaksudkan untuk memverifikasi bahwa perusahaan memiliki kebijakan dan proses untuk mencegah serangan dan mengurangi kemungkinan data pelanggan disusupi.

Contoh kasus: Lovable adalah pelanggan Delve, tapi setelah tuduhan pelapor keluar, Platform pengkodean getaran tersebut mengatakan bahwa mereka telah menghentikan startup tersebut pada akhir tahun 2025. Perusahaan tersebut telah menyelesaikan kembali satu sertifikasi keamanan, dan sedang dalam proses mengulangi sertifikasi lainnya, katanya.

Tetap saja, tetap menyenangkan Senin mengaku bahwa mereka secara tidak sengaja membagikan akses ke data obrolan pelanggan secara publik. Perusahaan juga mengatakan telah menolak laporan kerentanan yang mengingatkan perusahaan akan masalah tersebut beberapa bulan sebelumnya. Lovable meminta maaf karena awalnya menyangkal adanya pelanggaran data, meskipun dikatakan bahwa masalah tersebut disebabkan oleh kesalahan konfigurasi, bukan peretasan.

Bahkan ada berita yang lebih aneh lagi beredar di sekitar Delve. Pelapor anonim, DeepDelver, punya menerbitkan posting lain menuduh Delve menolak pengembalian uang kepada pelanggan, namun masih membawa timnya yang terdiri lebih dari 20 orang ke pertemuan di luar lokasi di Hawaii antara tanggal 15 April dan 19 April.

Pelapor membagikan beberapa tanda terima menarik kepada TechCrunch yang memberikan kepercayaan terhadap dugaan perjalanan ke Hawaii, tetapi TechCrunch tidak dapat mengonfirmasi klaim lainnya.

Delve tidak menanggapi permintaan komentar dan konfirmasi, dan email yang dikirim ke alamat hubungan medianya terpental.