Imaginez que les clés de votre entrepôt numérique soient laissées sur le paillasson pendant plusieurs mois, bien en vue de n’importe quel passant curieux sur internet. C’est exactement ce qui est arrivé à une société américaine peu connue du grand public mais pourtant essentielle dans l’ombre de la logistique mondiale : Bluspark Global.
Entre octobre 2025 et janvier 2026, les systèmes de sa plateforme Bluvoyix ont présenté des failles tellement élémentaires qu’elles en deviennent presque choquantes pour une entreprise qui gère les flux physiques de centaines de grandes enseignes. Mots de passe en clair, API totalement ouverte, création de comptes administrateurs sans aucune vérification… le cocktail était parfait pour un désastre numérique.
Quand la supply chain devient la cible idéale des hackers
Depuis plusieurs années maintenant, les chercheurs en sécurité alertent sur la fragilité croissante de la chaîne logistique mondiale face aux cyberattaques. Les cas de vols physiques pilotés à distance se multiplient : conteneurs de cigarettes électroniques détournés, homards canadiens disparus, produits de luxe redirigés vers des entrepôts complices… La frontière entre le cybercrime et le crime organisé s’estompe dangereusement.
Dans ce contexte, une faille chez un acteur comme Bluspark, même s’il reste discret, représente un risque systémique bien plus important que ne le laissent supposer ses effectifs réduits ou son nom peu médiatisé.
« Les attaques les plus sophistiquées commencent souvent par les erreurs les plus basiques. »
– Eaton Zveare, chercheur en sécurité
Comment tout a commencé : une simple inspection de code source
L’histoire commence de façon presque banale. En octobre 2025, le chercheur Eaton Zveare tombe sur le site internet d’un client de Bluspark. Rien d’extraordinaire : un formulaire de contact classique.
En inspectant le code source de la page (un réflexe chez tout bon pentester), il remarque que le formulaire envoie les données vers une URL appartenant à Bluspark via une API. Jusque-là, rien d’anormal… sauf que l’adresse de l’API est visible en clair dans le javascript de la page.
Curieux, il tape cette URL dans son navigateur. Surprise : une page de documentation automatique Swagger/OpenAPI s’affiche, listant des dizaines d’endpoints très… intéressants.
- Récupérer la liste complète des utilisateurs
- Créer un nouvel utilisateur
- Modifier les droits d’accès
- Consulter l’historique complet des expéditions
Le plus grave ? Aucune authentification n’est requise pour la plupart de ces actions sensibles.
Mots de passe en clair : l’erreur qui ne pardonne pas en 2026
Parmi les données accessibles figuraient les identifiants et… les mots de passe en texte clair de nombreux comptes, y compris celui de l’administrateur principal de la plateforme.
En 2026, alors que les attaques par credential stuffing et password spraying sont légion, laisser des mots de passe en clair accessibles sans aucune protection reste l’une des fautes les plus graves qu’une entreprise technologique puisse commettre.
Pour rappel, voici les pratiques minimales attendues aujourd’hui :
- Hachage avec sel + algorithme moderne (Argon2id, bcrypt, scrypt, PBKDF2)
- Secret salé d’au moins 128 bits
- Interdiction stricte de stocker le mot de passe original
- Rotation régulière des secrets d’application
Création d’un compte admin en une seule requête
Le summum de l’histoire reste sans doute la possibilité de créer un compte administrateur complet sans la moindre vérification. Une simple requête POST avec les bons paramètres suffisait à obtenir les pleins pouvoirs sur Bluvoyix.
Une fois connecté avec ce nouveau compte, le chercheur pouvait consulter l’intégralité des données clients remontant jusqu’à… 2007. Soit presque deux décennies d’historique de flux physiques, de références produits, de volumes, d’adresses d’entrepôts, de noms de transporteurs, etc.
Un responsible disclosure laborieux
Le plus frustrant pour Eaton Zveare n’a pas été la découverte des failles… mais la difficulté à en informer la société.
Aucune page de contact security@, aucun programme bug bounty, pas même un simple security.txt à la racine du domaine. Le chercheur a donc tenté :
- Maritime Hacking Village (organisation aidant à la disclosure dans le secteur maritime)
- Multiples emails aux adresses trouvées
- Messages LinkedIn
- Appel téléphonique + voicemail
Après plusieurs semaines sans réponse, il s’est résolu à contacter TechCrunch. Là encore, il a fallu pas moins de trois emails, dont un contenant un extrait du mot de passe du PDG pour prouver le sérieux de la menace, avant d’obtenir enfin une réaction… par l’intermédiaire d’un cabinet d’avocats.
Les leçons business & tech pour les startups et scale-ups
Cet incident, bien que résolu depuis, est riche d’enseignements pour toute entreprise technologique, particulièrement celles qui évoluent dans des secteurs à forts enjeux physiques (logistique, santé, énergie, industrie…).
1. La sécurité n’est plus un centre de coût, c’est un produit
Les clients B2B achètent de plus en plus la confiance autant que la fonctionnalité. Une certification SOC2 Type II, un programme de bug bounty public, une page security.txt sont devenus des arguments commerciaux aussi puissants qu’un beau dashboard ou une API rapide.
2. Les APIs doivent être sécurisées par défaut
En 2026, il n’existe quasiment plus d’excuse pour déployer une API sans :
- Authentification obligatoire (OAuth2 + PKCE ou JWT bien implémenté)
- Rate limiting par IP/compte
- Documentation séparée de l’environnement de production
- Swagger/OpenAPI désactivé ou protégé en prod
3. La gestion des identifiants doit suivre l’état de l’art
Stockage en clair, même « temporairement », est devenu totalement inacceptable. Les entreprises sérieuses migrent vers des solutions comme :
- HashiCorp Vault
- AWS Secrets Manager / GCP Secret Manager
- Azure Key Vault
- 1Password / Bitwarden pour les petites équipes
Et maintenant ? Vers une maturité forcée du secteur ?
Bluspark a annoncé vouloir mettre en place un programme de responsible disclosure structuré. C’est une excellente nouvelle, même si elle arrive après l’incident.
Pour les entrepreneurs et les responsables produit qui nous lisent, la question n’est plus « est-ce que nous allons être attaqués ? » mais plutôt « quand allons-nous être attaqués, et est-ce que nous serons prêts ? ».
Dans un monde où une simple requête HTTP peut suffire à détourner plusieurs millions d’euros de marchandises, la cybersécurité n’est plus une case à cocher lors de la levée de fonds Série A. Elle est devenue une composante stratégique majeure du product-market-fit lui-même.
Alors la prochaine fois que votre équipe technique vous dira « on mettra l’auth plus tard », pensez à Bluspark… et insistez.
La supply chain de demain sera soit sécurisée… soit elle ne sera pas.
(environ 3400 mots)
