Bluspark a laissé sa plateforme mondiale d'expédition exposée, puis était injoignable

Bluspark Global, la peu connue société new-yorkaise dont la plateforme Bluvoyix alimente le suivi des expéditions et du fret de centaines de grandes entreprises — géants de la distribution, épiceries, fabricants de meubles — a laissé les portes de sa plateforme d'expédition « grandes ouvertes à quiconque sur internet », a rapporté TechCrunch. Cinq failles incluaient des mots de passe d'employés et de clients stockés en clair et une API dont la page de documentation permettait à quiconque d'exécuter des commandes en tant qu'utilisateur connecté sans identifiants, exposant des archives d'expéditions remontant à des décennies.

Le chercheur en sécurité Eaton Zveare a découvert les vulnérabilités en octobre 2025 via le formulaire de contact du site web d'un client, qui intégrait du code d'envoi d'e-mails pouvant être détourné pour envoyer des leurres d'hameçonnage depuis l'adresse d'un véritable client de Bluspark. Vint ensuite le problème plus difficile : Bluspark n'avait aucun moyen discernable d'être contacté. Zveare a transmis son rapport via l'association à but non lucratif Maritime Hacking Village, et après des semaines d'e-mails, de messages vocaux et de messages LinkedIn, l'entreprise n'avait pas répondu — alors que les failles restaient exploitables.

TechCrunch est intervenu, en envoyant des e-mails au PDG Ken O'Brien et à la direction sans réponse, puis en alertant un client distributeur coté en bourse — rien non plus. Ce n'est que lorsque le troisième e-mail au PDG incluait une copie partielle de son propre mot de passe que Bluspark a répondu, via un cabinet d'avocats. L'entreprise a depuis corrigé les cinq failles, déclarant à TechCrunch que ses problèmes de sécurité étaient résolus.

Des décennies d'archives d'expéditions de clients et des mots de passe d'employés et de clients stockés en clair étaient accessibles à quiconque sur internet pendant des mois.

L'API renvoyait des données sensibles — y compris des mots de passe en clair et un compte administrateur — sans aucun identifiant, bien que sa documentation affirme qu'une authentification était requise.

Un formulaire de contact client intégrait du code d'envoi d'e-mails dans la page elle-même, permettant à quiconque d'envoyer des messages d'hameçonnage depuis l'adresse d'un véritable client de Bluspark.

L'entreprise n'avait aucun canal discernable de signalement de vulnérabilités : des semaines de contacts du chercheur par toutes les voies sont restées sans réponse.

Si personne ne peut vous signaler une faille de sécurité, vous avez choisi d'en apprendre l'existence par une violation — construisez la porte d'entrée avant d'en avoir besoin.

Bluspark a corrigé les cinq failles et a déclaré à TechCrunch que ses problèmes de sécurité étaient résolus ; la réponse est venue par un cabinet d'avocats seulement après que TechCrunch a inclus une copie partielle du mot de passe du PDG dans son e-mail. En toile de fond : les chercheurs en sécurité avaient passé l'année écoulée à exhorter le secteur du transport maritime à se renforcer face aux vols de marchandises liés à des pirates informatiques collaborant avec le crime organisé.