Bluspark将其全球航运平台暴露在外，随后却无法被联系到

据TechCrunch报道，鲜为人知的纽约公司Bluspark Global旗下Bluvoyix平台为数百家大型企业——零售巨头、杂货店、家具制造商——提供航运和货物追踪支持，却将其航运平台的大门“向互联网上的任何人敞开”。五个漏洞包括员工和客户的密码以明文存储，以及一个API，其文档页面允许任何人在没有凭证的情况下以已登录用户的身份运行命令，暴露了可追溯至数十年前的货运记录。

安全研究员Eaton Zveare于2025年10月通过一位客户自己的网站联系表单发现了这些漏洞，该表单在页面中嵌入了邮件发送代码，可被滥用以真实Bluspark客户地址发送钓鱼诱饵。随后是更棘手的问题：Bluspark没有可辨识的联系方式。Zveare通过Maritime Hacking Village非营利组织转达了他的报告，在数周的电子邮件、语音留言和LinkedIn消息之后，该公司仍未回应——而漏洞始终可利用。

TechCrunch介入，向CEO Ken O'Brien及高级管理层发送邮件但未获回复，随后又提醒了一家上市零售客户——同样毫无回应。直到发给CEO的第三封邮件中包含了他本人密码的部分副本，Bluspark才通过一家律师事务所作出回应。该公司此后已修复全部五个漏洞，并告诉TechCrunch其安全问题已解决。

数十年的客户货运记录以及以明文存储的员工和客户密码，在数月内可被互联网上的任何人访问。

该API在没有任何凭证的情况下返回敏感数据——包括明文密码和一个管理员账户——尽管其文档声称需要身份验证。

一个客户联系表单在页面本身嵌入了邮件发送代码，使任何人都能以真实Bluspark客户的地址发送钓鱼邮件。

该公司没有可辨识的漏洞报告渠道：研究人员通过各种途径联系数周均未获回应。

如果没有人能向你报告安全漏洞，你就等于决定要从数据泄露中得知它——在需要之前先把前门建好。

Bluspark修复了五个漏洞，并告诉TechCrunch其安全问题已解决；只有在TechCrunch在其邮件中包含CEO密码的部分副本之后，该公司才通过一家律师事务所作出回应。背景是：安全研究人员在过去一年中一直敦促航运业加强防护，因为出现了与黑客勾结有组织犯罪相关的货物盗窃事件。