Bluspark deixou sua plataforma global de transporte exposta e depois não pôde ser contatada

A Bluspark Global, empresa pouco conhecida de Nova York cuja plataforma Bluvoyix alimenta o rastreamento de transporte e carga para centenas de grandes empresas — gigantes do varejo, supermercados, fabricantes de móveis — deixou as portas de sua plataforma de transporte 'totalmente abertas para qualquer pessoa na internet', informou o TechCrunch. Cinco falhas incluíam senhas de funcionários e clientes armazenadas em texto simples e uma API cuja página de documentação permitia a qualquer pessoa executar comandos como um usuário autenticado sem credenciais, expondo registros de embarques que remontam a décadas.

O pesquisador de segurança Eaton Zveare descobriu as vulnerabilidades em outubro de 2025 por meio do próprio formulário de contato do site de um cliente, que incorporava código de envio de e-mail que poderia ser abusado para enviar iscas de phishing a partir do endereço de um cliente real da Bluspark. Depois veio o problema mais difícil: a Bluspark não tinha nenhuma forma discernível de ser contatada. Zveare encaminhou seu relato por meio da organização sem fins lucrativos Maritime Hacking Village e, após semanas de e-mails, mensagens de voz e mensagens no LinkedIn, a empresa não havia respondido — tudo enquanto as falhas permaneciam exploráveis.

O TechCrunch interveio, enviando e-mails ao CEO Ken O'Brien e à alta liderança sem resposta, depois alertando um cliente varejista de capital aberto — também nada. Somente quando o terceiro e-mail ao CEO incluía uma cópia parcial da própria senha dele é que a Bluspark respondeu, por meio de um escritório de advocacia. A empresa desde então corrigiu todas as cinco falhas, dizendo ao TechCrunch que seus problemas de segurança foram resolvidos.

Décadas de registros de embarques de clientes e senhas de funcionários e clientes armazenadas em texto simples estavam acessíveis por qualquer pessoa na internet durante meses.

A API retornava dados sensíveis — incluindo senhas em texto simples e uma conta de administrador — sem quaisquer credenciais, apesar de sua documentação afirmar que a autenticação era necessária.

Um formulário de contato de cliente incorporava código de envio de e-mail na própria página, permitindo que qualquer pessoa enviasse phishing a partir do endereço de um cliente real da Bluspark.

A empresa não tinha nenhum canal discernível de relato de vulnerabilidades: semanas de contatos do pesquisador por todas as vias ficaram sem resposta.

Se ninguém consegue relatar uma falha de segurança para você, você decidiu saber disso por meio de uma violação — construa a porta de entrada antes de precisar dela.

A Bluspark corrigiu as cinco falhas e disse ao TechCrunch que seus problemas de segurança foram resolvidos; a resposta veio por meio de um escritório de advocacia somente depois que o TechCrunch incluiu uma cópia parcial da senha do CEO em seu e-mail. O pano de fundo: pesquisadores de segurança haviam passado o ano anterior instando o setor de transporte a se reforçar em meio a roubos de carga ligados a hackers que colaboram com o crime organizado.