보안2026. 11. 13. 오전 4:35 UTC·2 분 소요

Grok Build 앱 3만5천 개, 로그인 없이 열렸다

보안업체 Claroc이 Grok Build로 만든 앱 3만5578개를 로그인 없이 열었다고 밝혔다. SpaceXSI 내부 영업 지도와 광고 제안서도 포함됐다.

A laptop screen showing a web app builder publish dialog with an open padlock icon beside it. — 이미지: TNW | Data-security

Grok Build로 만든 앱은 주소만 알면 로그인 없이 열렸다. 보안업체 Claroc이 11월 10일 공개한 연구에 따르면 이런 앱이 3만5000개가 넘는다. 이 중 24개는 Grok을 만든 SpaceXSI 직원들의 앱이었다.

기밀 온보딩 계획, 영업 구역 지도, 광고 제안서 등이 들어 있었다. Claroc에 따르면 SpaceXSI는 보고서가 나온 뒤 자사 앱 24개를 내렸지만, 다른 사용자의 앱은 그대로 두었다.

Grok Build란 무엇이고 얼마나 열려 있었나

Grok Build는 채팅창에 설명을 입력하면 작동하는 앱을 만들어 주는 도구다. 완성한 앱은 grok.me의 고유 주소에 게시할 수 있다. Claroc은 4만3500개 넘는 주소를 시도했고, 접속된 3만7571개 중 3만5578개(94.7%)가 로그인 없이 열렸다.

대부분은 게임, 랜딩 페이지, 계산기였다. 다만 약 10분의 1에는 내부 업무 데이터나 개인정보가 있었고, Claroc은 650~800개로 추정한다. 직접 확인한 사례에는 중환자실 환자 1명의 검사 결과, 병원 그룹 직원 3500명 이상의 명단, 소방서 근무표가 있다. 한 하청업체의 근무시간 앱에는 계정 18개의 비밀번호가 암호화 없이 코드에 들어 있었고, 이 코드는 방문자 브라우저가 내려받는다.

SpaceXSI의 공개 앱에는 전략 영업 계정 594곳의 지도와 X 광고 제안서 8건이 있었다. Claroc은 미국 연방기관에 보낸 제안서 1건에 기밀 표시가 있었다고 밝혔다.

앱 주소는 어떻게 알아냈나

게시된 앱에는 name.grok.me처럼 무작위 단어로 된 호스트 이름이 붙는다. 추측할 필요도 없었다. 앱을 열면 그 이름이 패시브 DNS 서비스에 기록되기 때문이다. 인터넷 조회 기록을 모은 상용 데이터베이스로, 계정이 있으면 누구나 검색할 수 있다. Claroc은 Claude, ChatGPT, Gemini의 공유 채팅은 비밀 부분이 경로에 있어 DNS에 보이지 않는다고 설명했다.

SpaceXSI는 게시에 법적 고지를 포함한 여러 단계가 있고 직원 계정은 기본값이 "Only you"라고 밝혔다. Claroc은 열려 있던 3만5578개의 작성자도 모든 단계를 거쳤다고 반박한다. Claroc은 "Only you"를 기본값으로 바꿔 달라고 요청했다.