Bluspark ließ seine globale Versandplattform offen zugänglich – und war dann nicht erreichbar

Bluspark Global, die wenig bekannte New Yorker Firma, deren Plattform Bluvoyix Versand und Frachtverfolgung für Hunderte große Unternehmen – Einzelhandelsriesen, Lebensmittelgeschäfte, Möbelhersteller – betreibt, ließ die Türen zu ihrer Versandplattform „weit offen für jeden im Internet“, berichtete TechCrunch. Fünf Schwachstellen umfassten Klartext-Passwörter von Mitarbeitern und Kunden sowie eine API, deren Dokumentationsseite es jedem ermöglichte, Befehle als angemeldeter Nutzer ohne Zugangsdaten auszuführen, wodurch Sendungsdaten bis Jahrzehnte zurück offengelegt wurden.

Der Sicherheitsforscher Eaton Zveare entdeckte die Schwachstellen im Oktober 2025 über das Kontaktformular der Website eines Kunden selbst, das E-Mail-Versandcode einbettete, der missbraucht werden konnte, um Phishing-Köder von der Adresse eines echten Bluspark-Kunden zu versenden. Dann kam das schwierigere Problem: Bluspark hatte keinen erkennbaren Weg, kontaktiert zu werden. Zveare leitete seinen Bericht über die gemeinnützige Organisation Maritime Hacking Village weiter, und nach Wochen von E-Mails, Voicemails und LinkedIn-Nachrichten hatte das Unternehmen nicht geantwortet – während die Schwachstellen weiter ausnutzbar blieben.

TechCrunch griff ein, schrieb CEO Ken O'Brien und der Führungsebene E-Mails ohne Antwort und alarmierte dann einen börsennotierten Einzelhandelskunden – ebenfalls nichts. Erst als die dritte E-Mail an den CEO eine Teilkopie seines eigenen Passworts enthielt, reagierte Bluspark, über eine Anwaltskanzlei. Das Unternehmen hat seitdem alle fünf Schwachstellen behoben und TechCrunch mitgeteilt, seine Sicherheitsprobleme seien gelöst.

Jahrzehntealte Kundensendungsdaten sowie Klartext-Passwörter von Mitarbeitern und Kunden waren monatelang für jeden im Internet erreichbar.

Die API gab sensible Daten – darunter Klartext-Passwörter und ein Administratorkonto – ohne jegliche Zugangsdaten zurück, obwohl ihre Dokumentation behauptete, eine Authentifizierung sei erforderlich.

Ein Kundenkontaktformular bettete E-Mail-Versandcode direkt in die Seite ein, sodass jeder Phishing von der Adresse eines echten Bluspark-Kunden versenden konnte.

Das Unternehmen hatte keinen erkennbaren Meldekanal für Schwachstellen: Wochen von Forscherkontakten über alle Wege blieben unbeantwortet.

Wenn niemand Ihnen eine Sicherheitsschwachstelle melden kann, haben Sie entschieden, davon durch einen Sicherheitsvorfall zu erfahren – bauen Sie die Eingangstür, bevor Sie sie brauchen.

Bluspark behob die fünf Schwachstellen und teilte TechCrunch mit, seine Sicherheitsprobleme seien gelöst; die Reaktion kam über eine Anwaltskanzlei erst, nachdem TechCrunch eine Teilkopie des Passworts des CEO in seine E-Mail aufgenommen hatte. Der Hintergrund: Sicherheitsforscher hatten im vergangenen Jahr die Versandbranche eindringlich dazu gedrängt, sich angesichts von Frachtdiebstählen, die mit Hackern in Zusammenarbeit mit organisierter Kriminalität in Verbindung gebracht werden, besser abzusichern.