Bluspark Global, la poco conocida empresa neoyorquina cuya plataforma Bluvoyix impulsa el seguimiento de envíos y carga para cientos de grandes empresas —gigantes minoristas, supermercados, fabricantes de muebles—, dejó las puertas de su plataforma de envíos "completamente abiertas a cualquiera en internet", informó TechCrunch. Cinco fallos incluían contraseñas de empleados y clientes almacenadas en texto plano y una API cuya página de documentación permitía a cualquiera ejecutar comandos como un usuario con sesión iniciada sin credenciales, exponiendo registros de envíos que se remontan a décadas atrás.
El investigador de seguridad Eaton Zveare descubrió las vulnerabilidades en octubre de 2025 a través del propio formulario de contacto del sitio web de un cliente, que incorporaba código de envío de correos que podía aprovecharse para enviar señuelos de phishing desde la dirección de un cliente real de Bluspark. Luego llegó el problema más difícil: Bluspark no tenía una forma discernible de ser contactada. Zveare canalizó su informe a través de la organización sin ánimo de lucro Maritime Hacking Village y, tras semanas de correos electrónicos, mensajes de voz y mensajes de LinkedIn, la empresa no había respondido, todo ello mientras los fallos seguían siendo explotables.
TechCrunch intervino, enviando correos electrónicos al CEO Ken O'Brien y a la alta dirección sin obtener respuesta, y luego alertando a un cliente minorista que cotiza en bolsa, también sin resultado. Solo cuando el tercer correo electrónico al CEO incluía una copia parcial de su propia contraseña respondió Bluspark, a través de un bufete de abogados. La empresa ha corregido desde entonces los cinco fallos y dijo a TechCrunch que sus problemas de seguridad están resueltos.
Décadas de registros de envíos de clientes y contraseñas de empleados y clientes almacenadas en texto plano estuvieron al alcance de cualquiera en internet durante meses.
La API devolvía datos sensibles —incluidas contraseñas en texto plano y una cuenta de administrador— sin credenciales algunas, pese a que su documentación afirmaba que se requería autenticación.
Un formulario de contacto de cliente incorporaba código de envío de correos en la propia página, lo que permitía a cualquiera enviar phishing desde la dirección de un cliente real de Bluspark.
La empresa no tenía un canal discernible para denunciar vulnerabilidades: semanas de contactos del investigador por todas las vías quedaron sin respuesta.
Si nadie puede denunciarte un fallo de seguridad, has decidido enterarte de él a través de una brecha: construye la puerta de entrada antes de necesitarla.
Bluspark corrigió los cinco fallos y dijo a TechCrunch que sus problemas de seguridad estaban resueltos; la respuesta llegó a través de un bufete de abogados solo después de que TechCrunch incluyera una copia parcial de la contraseña del CEO en su correo electrónico. El contexto: los investigadores de seguridad habían pasado el último año instando al sector del transporte marítimo a reforzar sus defensas ante los robos de carga vinculados a piratas informáticos que colaboran con el crimen organizado.
CONSULTA LAS PRUEBAS
Las fuentes
- US cargo tech company publicly exposed its shipping systems and customer data to the web TechCrunch · techcrunch.com ·