Bluspark Global 보안 결함: 비밀번호도 없이 열려있던 글로벌 물류망의 뒷문

2007년부터 쌓인 수천만 건의 글로벌 물류 데이터가 아무런 인증 장치 없이 인터넷에 방치되어 있었다. 뉴욕 기반의 물류 플랫폼 기업 Bluspark Global에서 발생한 이번 사건은 공급망 보안이 얼마나 취약할 수 있는지를 여실히 보여준다. 보안 전문가들은 최근 해커들이 물류 시스템을 해킹해 화물을 가로채는 범죄가 급증하고 있다며 경고의 목소리를 높이고 있다.

Bluspark Global 보안 결함의 실체: 평문 비밀번호와 인증 없는 API

보안 연구원 Eaton Zveare가 발견한 이 결함의 핵심은 허술하기 짝이 없는 보안 관리였다. 이 회사의 물류 플랫폼인 Bluvoyix는 API를 통해 데이터를 주고받는데, 조사 결과 이 과정에서 비밀번호나 인증 토큰이 전혀 요구되지 않았다. 더 충격적인 것은 관리자와 고객의 비밀번호가 암호화되지 않은 평문(plaintext) 상태로 노출되어 있었다는 점이다.

연구원은 단순히 브라우저의 소스 코드를 확인하는 것만으로 5개의 치명적인 취약점을 찾아냈다. 이를 통해 수십 년 치의 운송 기록은 물론, 새로운 관리자 계정을 직접 생성하여 시스템 전체를 장악하는 것도 가능했다. 전 세계 대형 유통업체와 가구 제조사들이 사용하는 플랫폼의 빗장이 사실상 열려 있었던 셈이다.

침묵으로 일관한 기업과 보안 연구원의 사투

결함을 발견한 이후의 대처는 더 큰 문제였다. Zveare는 수차례 이메일과 링크드인 메시지를 보냈으나 Bluspark Global 측은 묵묵부답이었다. 결국 IT 전문 매체 TechCrunch가 개입하여 CEO의 비밀번호 일부를 메일에 포함해 발송한 뒤에야 법무법인을 통해 답변을 들을 수 있었다.

현재 Bluspark Global은 해당 결함을 모두 수정한 것으로 알려졌다. 사측 대변인은 악의적인 활동의 징후는 발견되지 않았다고 발표했지만, 이를 뒷받침할 구체적인 근거는 제시하지 않았다. 이번 사건을 계기로 보안 취약점 신고 절차(VDP)가 없는 기업들에 대한 비판의 목소리가 커지고 있다.