Claroc Research, 로그인 없이 이용할 수 있는 Grok 앱 35,578개 발견

Claroc Research는 2026년 11월 10일, 테스트 당시 온라인 상태였던 Grok 앱 37,571개 가운데 35,578개가 로그인 없이 열렸으며, 그중 24개는 SpaceXSI와 X 직원이 만든 앱이었다고 보고했다. GhostShares 조사에서는 공개된 앱에서 기업, 직원 및 개인에 관한 기밀 자료가 발견됐다. 보고서에 따르면 사람들은 채팅으로 앱을 만들 내용을 설명하고 같은 채팅 창에서 앱을 게시한다. 보고서에 실린 스크린샷에는 Grok의 빌드 모드가 선택된 모습이 나온다.

나머지 앱 1,993개에서는 ‘나만 보기’ 또는 ‘초대된 사용자’ 설정과 관련된 HTTP 401 접근 오류가 반환됐다. Claroc은 일반적인 하위 도메인 탐색 기법을 사용해 grok.me 아래에서 이름 43,601개를 찾아냈다. 연구진은 로그인하지 않은 상태로 공개 인터넷에서 각 앱의 첫 페이지를 한 번씩 불러온 뒤, 저장한 사본을 오프라인으로 검토했다.

게시된 앱마다 자체 <name>.grok.me 호스트명이 부여된다. 도메인 이름 시스템(DNS)을 통해 해당 이름을 확인하는 요청은 검색 가능한 수동 DNS 색인에 반영될 수 있다. 이 색인은 호스트명 조회 기록을 수집하므로, 무작위 단어 네 개로 만든 주소도 사용된 뒤에는 검색될 수 있다. 무작위 식별자가 URL 경로에 포함된 공유 링크는 DNS를 통해 그 식별자를 노출하지 않지만, 검색 색인화와 링크 검사 도구를 통해서는 여전히 드러날 수 있다.

공개된 앱에 담긴 내용

SpaceXSI(구 xAI)와 X의 직원용 앱에는 기밀 기업 영업 온보딩 계획, 전략 계정 594곳과 해당 영업 파이프라인을 보여주는 지역별 지도, X 광고 제안서·미디어 계획서·프레젠테이션 자료 8건이 포함돼 있었다. 제안서 하나는 미국 연방 기관을 수신인으로 하며 기밀로 표시돼 있었다. 별도의 광고주 계정 현황판에는 160만 달러의 영업 목표를 향한 진행 상황이 기록돼 있었다.

Claroc은 SpaceXSI와 X 외에도 30개 조직의 내부 데이터를 확인했다. 이 가운데 26곳은 직원이 1,000명 넘는 조직이었고, 6곳은 포춘 500대 기업이었다. 공개된 앱은 대부분 게임, 랜딩 페이지, 계산기였다. Claroc은 AI 모델로 후보를 표시하고, 표시된 페이지를 직접 검토한 뒤, 무작위 표본을 이용해 모델을 확인한 결과, 앱 650~800개에 비공개 데이터가 포함된 것으로 추정했다.

직접 확인한 사례에는 직원 3,500명 이상의 이름을 검색할 수 있는 병원 그룹의 직원 명단, 환자 한 명의 검사 결과·영상 자료·인공호흡기 상태가 담긴 중환자실 브리핑 자료, 소방관의 이름과 배지 번호가 기록된 소방서의 실시간 근무 교대표가 포함됐다. 한 계약업체의 근무 시간표에는 직원 계정 기록 18건도 노출돼 있었다. 관리자 계정을 포함한 이 기록에는 암호화되지 않은 비밀번호가 들어 있었으며, 방문자의 브라우저가 내려받는 스크립트 코드에 포함돼 있었다.

게시 및 로그인 테스트

쓰기 권한과 인증을 살펴보기 위해 Claroc은 가상의 데이터를 사용해 앱 두 개를 만들었다. 유료 계정에서는 제작자가 게시 버튼을 누르기 전까지 아무것도 공개되지 않았다. 그러나 그 뒤 표시된 접근 설정 패널에서는 ‘링크가 있는 모든 사용자’가 ‘초대된 사용자’ 및 ‘나만 보기’ 옵션과 함께 미리 선택돼 있었다.

첫 번째 테스트 앱은 로그인 기능이 없는 데이터베이스 기반 연락처 목록이었다. 로그아웃한 시크릿 창에서 추가한 기록은 다음 방문자에게도 보였다. 두 번째 앱은 영업팀 4명이 사용하도록 만든 고객 목록이었으며, Grok은 Google 및 X 로그인 버튼을 추가했다. 앱 코드는 멤버십을 확인하기 전에 로그인한 사람을 모두 팀원으로 등록해 멤버십 검사를 통과시켰다. 그 결과 초대받지 않은 Google 계정 사용자가 모든 고객 정보를 열람하고, 기록 하나를 변경하고 다른 하나를 삭제할 수 있었다.

이 테스트는 공개 열람과 쓰기 보호가 서로 다른 문제임을 보여준다. 앱에 로그인 기능이 없거나 팀 소속 여부를 확인하지 않은 채 신원만 확인하는 경우, 공개된 앱에서 데이터를 변경할 수도 있다. 다만 Claroc은 이러한 쓰기 권한 및 인증 실패를 자체 앱에서만 입증했다. 다른 사람의 앱에 로그인하거나, 양식을 제출하거나, 서버 기능을 호출하거나, 앱을 수정하지는 않았다.

사용 가능한 접근 제어 기능은 활성화했을 때 제대로 작동했다. ‘나만 보기’를 선택하자 첫 번째 앱은 페이지와 데이터 기능 모두에 대해 외부 사용자에게 HTTP 401 오류를 반환했다. 두 번째 앱의 게시를 취소하자 몇 초 만에 해당 주소에 접속할 수 없게 됐다.

공개 및 SpaceXSI의 대응

Claroc은 2026년 11월 8일 SpaceXSI에 온보딩 계획과 광고 제안서의 노출 사실을 알리고, 노출 건수와 테스트 앱 두 개, 제안된 수정 사항 네 가지를 전달했다고 밝혔다. 다른 직원용 앱들은 2026년 11월 9일에 보고했다. 보도 시점에 SpaceXSI는 기자의 질문에 답했지만 연구 보고서에 직접 회신하지는 않았다. 보고서가 나온 뒤 직원용 앱들은 삭제됐지만, 다른 사용자의 노출된 앱은 계속 온라인 상태였다.

SpaceXSI는 기자에게 앱은 제작자가 공유하기로 선택하기 전까지 비공개 상태이며, 게시에는 여러 단계가 필요하고, 직원 계정의 기본 설정은 ‘나만 보기’라고 밝혔다. Claroc의 조사 결과는 일반 유료 계정에서 ‘링크가 있는 모든 사용자’가 미리 선택돼 있던 접근 설정과 관련된 것이다. 그럼에도 직원용 앱들은 설명된 직원 계정의 기본 설정과 달리 공개적으로 접근할 수 있었다.

Claroc은 공유 앱을 추측하기 어려운 경로에 단일 호스트를 통해 게시하고, 조직 도메인으로 제한되는 공유 기능을 추가하며, 기본값을 ‘나만 보기’로 설정하는 한편 게시 전에 앱을 열 수 있는 사용자를 표시하고, 로그인 기능이 없는 데이터베이스 기반 앱에 경고를 추가할 것을 제안했다. 또한 요청 내용에 팀이 언급되면 초대 목록을 생성하는 기능도 제안했다.

SpaceXSI의 답변에는 앱 소유자에게 알리겠다는 내용이 없었기 때문에 Claroc은 피해를 입은 조직에 직접 연락하기 시작했으며, 보고서가 공개될 때까지 세 곳의 조직에 이메일을 보냈다. 공개 보고서에는 호스트 이름, 앱 제목, 링크가 포함되지 않았고, Claroc은 알림을 모두 마친 뒤 저장된 사본을 삭제하겠다고 밝혔다.

이번 조사 결과는 보안 우려가 URL의 비밀 유지 문제를 넘어선다는 점을 보여준다. 호스트 이름을 알아낼 수 있어 공개된 앱을 열거할 수 있었고, 통제된 테스트에서는 방문자가 인증을 마친 뒤에도 생성된 로그인 코드가 팀 구성원 여부를 확인하지 못할 수 있음이 드러났다.