Bluspark, 글로벌 배송 플랫폼을 노출시킨 뒤 연락이 닿지 않았다

수백 개 대기업(대형 유통업체, 식료품점, 가구 제조사)의 배송 및 화물 추적을 지원하는 Bluvoyix 플랫폼을 운영하는, 잘 알려지지 않은 뉴욕 소재 기업 Bluspark Global이 자사 배송 플랫폼의 문을 '인터넷상의 누구에게나 활짝 열어두었다'고 TechCrunch가 보도했다. 다섯 가지 결함에는 직원과 고객의 비밀번호가 평문으로 저장된 것과, 문서 페이지에서 누구나 자격 증명 없이 로그인한 사용자로서 명령을 실행할 수 있게 한 API가 포함되어 있었으며, 이로 인해 수십 년 전까지 거슬러 올라가는 배송 기록이 노출되었다.

보안 연구원 Eaton Zveare는 2025년 10월, 한 고객사의 자체 웹사이트 문의 양식을 통해 이 취약점들을 발견했다. 그 양식에는 실제 Bluspark 고객의 주소에서 피싱 유인 메일을 보내는 데 악용될 수 있는 이메일 전송 코드가 삽입되어 있었다. 그다음에는 더 어려운 문제가 있었다. Bluspark에는 연락할 만한 식별 가능한 방법이 없었다. Zveare는 비영리 단체 Maritime Hacking Village를 통해 보고서를 전달했고, 수 주간의 이메일, 음성 메시지, LinkedIn 메시지에도 회사는 응답하지 않았으며, 그동안 결함은 계속 악용 가능한 상태로 남아 있었다.

TechCrunch가 개입하여 CEO Ken O'Brien과 고위 경영진에게 이메일을 보냈으나 응답이 없었고, 이어 상장된 유통 고객사에 알렸으나 역시 아무 반응이 없었다. CEO에게 보낸 세 번째 이메일에 그의 비밀번호 일부 사본을 포함시켰을 때에야 Bluspark가 법률 사무소를 통해 응답했다. 회사는 이후 다섯 가지 결함을 모두 수정했으며, TechCrunch에 보안 문제가 해결되었다고 밝혔다.

수십 년치 고객 배송 기록과 평문으로 저장된 직원 및 고객 비밀번호가 수개월 동안 인터넷상의 누구나 접근할 수 있었다.

API는 문서에서 인증이 필요하다고 주장했음에도 불구하고, 자격 증명 없이 평문 비밀번호와 관리자 계정을 포함한 민감한 데이터를 반환했다.

한 고객 문의 양식은 페이지 자체에 이메일 전송 코드를 삽입해 두어, 누구나 실제 Bluspark 고객의 주소에서 피싱 메일을 보낼 수 있게 했다.

회사에는 식별 가능한 취약점 신고 채널이 없었다. 모든 경로를 통한 수 주간의 연구자 연락이 답변을 받지 못했다.

누구도 당신에게 보안 결함을 신고할 수 없다면, 당신은 침해 사고를 통해 그 사실을 알게 되기로 결정한 것이다. 필요해지기 전에 정문을 만들어라.

Bluspark는 다섯 가지 결함을 수정했고 TechCrunch에 보안 문제가 해결되었다고 밝혔다. 응답은 TechCrunch가 이메일에 CEO 비밀번호의 일부 사본을 포함시킨 뒤에야 법률 사무소를 통해 이루어졌다. 배경으로는, 보안 연구원들이 해커와 조직 범죄의 결탁과 연관된 화물 절도 사건 속에서 지난 한 해 동안 해운 업계에 보안을 강화할 것을 촉구해 왔다는 점이 있다.