Bluspark 讓其全球航運平台暴露在外，隨後卻無法聯繫

Bluspark Global 是一家鮮為人知的紐約公司，其 Bluvoyix 平台為數百家大型企業——零售巨頭、雜貨店、家具製造商——提供航運與貨物追蹤功能；據 TechCrunch 報導，該公司讓其航運平台的大門「對網際網路上的任何人敞開」。五項缺陷包括員工與客戶的密碼以明文儲存，以及一個 API，其文件頁面讓任何人無需憑證即可冒充已登入使用者執行指令，暴露了可追溯至數十年前的貨運紀錄。

安全研究員 Eaton Zveare 於 2025 年 10 月透過一名客戶自家網站的聯絡表單發現了這些漏洞；該表單在頁面中嵌入了寄送電子郵件的程式碼，可被濫用來從一名真實 Bluspark 客戶的地址寄送釣魚誘餌。接著是更棘手的問題：Bluspark 沒有可辨識的聯絡方式。Zveare 透過非營利組織 Maritime Hacking Village 轉達他的通報，而在數週的電子郵件、語音留言與 LinkedIn 訊息之後，該公司仍未回應——於此同時，這些缺陷始終可被利用。

TechCrunch 介入，寄電子郵件給執行長 Ken O'Brien 與高階主管，未獲回應，接著通知一家公開上市的零售客戶——同樣毫無下文。直到寄給執行長的第三封電子郵件附上他本人密碼的部分內容，Bluspark 才透過一家律師事務所回應。該公司其後已修復全部五項缺陷，並告訴 TechCrunch 其安全問題已解決。

數十年的客戶貨運紀錄，以及以明文儲存的員工與客戶密碼，在數個月間可被網際網路上的任何人取得。

該 API 在沒有任何憑證的情況下回傳敏感資料——包括明文密碼與一個管理員帳號——儘管其文件聲稱需要身分驗證。

一個客戶聯絡表單在頁面本身嵌入了寄送電子郵件的程式碼，讓任何人得以從一名真實 Bluspark 客戶的地址寄送釣魚郵件。

該公司沒有可辨識的漏洞通報管道：研究人員透過各種途徑聯繫數週，均未獲回應。

如果沒有人能向你通報安全漏洞，你就等於決定要從一次入侵事件中得知它——在你需要之前先把前門建好。

Bluspark 修復了這五項缺陷，並告訴 TechCrunch 其安全問題已解決；回應是在 TechCrunch 於電子郵件中附上執行長密碼的部分內容之後，才透過一家律師事務所送達。背景是：安全研究人員在過去一年間一直敦促航運業加強防護，因為當時發生了與駭客勾結組織犯罪相關的貨物竊盜事件。