Blusparkは自社のグローバル配送プラットフォームを露出させ、その後連絡が取れなかった

ニューヨークのあまり知られていない企業Bluspark Globalは、そのBluvoyixプラットフォームが数百の大企業――小売大手、食料品店、家具メーカー――の配送・貨物追跡を支えているが、その配送プラットフォームの扉を「インターネット上の誰にでも広く開け放っていた」とTechCrunchは報じた。5つの欠陥には、従業員と顧客のパスワードが平文で保存されていたこと、およびドキュメントページから誰でも認証情報なしでログイン済みユーザーとしてコマンドを実行できるAPIが含まれ、数十年分にさかのぼる出荷記録が露出していた。

セキュリティ研究者のEaton Zveareは2025年10月、顧客自身のウェブサイトの問い合わせフォームを通じてこれらの脆弱性を発見した。そのフォームにはメール送信コードが埋め込まれており、実際のBluspark顧客のアドレスからフィッシングの誘い文を送るために悪用できた。そしてさらに難しい問題が続いた。Blusparkには連絡を取る明白な手段がなかった。Zveareは報告を非営利団体Maritime Hacking Village経由で伝え、数週間にわたるメール、ボイスメール、LinkedInメッセージの後も、同社は応答せず――その間ずっと欠陥は悪用可能なままだった。

TechCrunchが介入し、CEOのKen O'Brienと上級幹部にメールを送ったが応答はなく、次に公開企業の小売顧客に警告したが――これも何もなかった。CEOへの3通目のメールに本人のパスワードの一部を記載したときになって初めて、Blusparkは法律事務所を通じて応答した。同社はその後5つの欠陥すべてを修正し、セキュリティ問題は解決したとTechCrunchに述べた。

数十年分の顧客の出荷記録と、平文で保存された従業員および顧客のパスワードが、数か月間にわたりインターネット上の誰からでも到達可能だった。

APIは、ドキュメントが認証を要求すると主張していたにもかかわらず、認証情報なしで機密データ――平文パスワードや管理者アカウントを含む――を返していた。

顧客の問い合わせフォームはメール送信コードをページ自体に埋め込んでおり、誰でも実際のBluspark顧客のアドレスからフィッシングを送信できた。

同社には判別可能な脆弱性報告チャネルがなかった。あらゆる経路を通じた研究者からの数週間にわたる連絡が回答されなかった。

誰もあなたにセキュリティ上の欠陥を報告できないなら、あなたはそれを侵害から知ることになると決めたも同然だ――必要になる前に玄関口を作れ。

Blusparkは5つの欠陥を修正し、セキュリティ問題は解決したとTechCrunchに述べた。応答は、TechCrunchがCEOのパスワードの一部をメールに記載した後に初めて、法律事務所を通じて得られた。背景として、セキュリティ研究者たちは過去1年間、組織犯罪と共謀するハッカーに関連する貨物窃盗の中で、海運業界に警戒を強めるよう促してきた。