Grok Build Skandal: Mehr als 35.000 Apps waren ohne Anmeldung zugänglich

Ein vertrauliches Werbeangebot für eine US-Behörde und Laborwerte eines Intensivpatienten waren über Apps zugänglich, die Nutzer mit Grok Build erstellt hatten. Die Sicherheitsforscher von Claroc konnten 35.578 Apps ohne Anmeldung öffnen. Darunter waren 24 Apps von Mitarbeitern des Grok-Anbieters SpaceXSI und der Plattform X.

Vertrauliche Daten hinter Freigabelinks

Von den rund 37.600 erreichbaren Apps in der Untersuchung ließen sich knapp 95% ohne Anmeldung öffnen. Viele waren Spiele, Rechner oder einfache Webseiten. Die Forscher fanden aber auch interne Daten von 30 weiteren Organisationen, darunter Personallisten einer Krankenhausgruppe und Passwörter in einer App zur Zeiterfassung.

Mit Grok Build können Nutzer eine App im Chat beschreiben und anschließend veröffentlichen. Beim Veröffentlichen war im Testkonto von Claroc die Einstellung »Jeder mit dem Link« vorausgewählt. Solche Adressen können auch Personen finden, die den Link nie zugeschickt bekommen haben.

SpaceXSI nimmt 24 Apps vom Netz

SpaceXSI erklärte, dass Apps bis zur Veröffentlichung privat bleiben und die Veröffentlichung mehrere Bestätigungen erfordert. Bei Mitarbeiterkonten sei »Nur du« vorausgewählt. Claroc meldete die Funde ab dem 8. November, danach nahm SpaceXSI die 24 Apps der eigenen Mitarbeiter und der Mitarbeiter von X vom Netz.

Bei einer eigens erstellten Test-App für ein Vertriebsteam stieß Claroc auf ein weiteres Problem. Ein Konto ohne Einladung konnte Kundendaten einsehen und ändern. Am 10. November begann Claroc damit, betroffene Organisationen selbst zu informieren.