# Claroc, 로그인 없이 열린 Grok 앱 35,578개 발견

> 보안업체는 공개된 일부 Grok 앱에서 환자 정보와 비밀번호, 기업 문서가 노출됐다고 밝혔다. SpaceXSI는 직원이 만든 앱 24개를 내렸다.

Oossa · 2026-11-11 · https://oossa.com/ko/claroc-finds-35-578-grok-built-apps-open-without-login

보안업체 Claroc은 로그인하지 않아도 누구나 열 수 있는 Grok 제작 앱 35,578개를 발견했다고 밝혔다. 이는 조사 당시 온라인 상태였던 앱 37,571개 가운데 94.7%에 해당한다. 일부 앱에는 환자 정보, 평문 비밀번호, Grok 개발사 SpaceXSI의 자료를 포함한 기밀 사업 문서가 들어 있었다.

Grok의 Build 모드에서는 채팅으로 앱을 설명하면 AI 비서가 코드를 작성해 준다. 제작자가 grok.me에 앱을 게시하면 공개 상태가 된다. Claroc이 사용한 유료 계정에서는 게시 창에서 ‘링크가 있는 모든 사용자’가 기본 선택돼 있었다. 또한 방문한 도메인 이름을 기록하는 검색 가능한 패시브 DNS 데이터베이스를 통해 앱 이름을 찾을 수도 있었다고 Claroc은 밝혔다.

## 어떤 정보가 노출됐나?

Claroc은 앱 650~800개에 비공개 데이터가 포함된 것으로 추정했다. 확인된 사례로는 환자의 검사 수치가 담긴 중환자실 브리핑 자료, 직원 3,500명 이상의 명단이 담긴 병원 그룹 앱, 소방서 근무 일정 앱이 있었다. 한 근무시간 기록 앱의 소스 코드에는 비밀번호가 평문으로 저장된 계정 18개가 들어 있었다. Claroc은 접근 가능한 앱 10개 중 1개꼴로 민감한 정보나 내부 정보, 개인정보가 포함됐으며, 약 2%는 특히 심각한 수준이었다고 밝혔다.

Claroc은 SpaceXSI와 X 직원이 만든 앱 가운데 외부에서 접근할 수 있는 앱 24개도 발견했다. 여기에는 내부 시스템 주소와 채팅 채널이 담긴 직원 온보딩 계획, 주요 고객 594곳을 표시한 영업 지도, 기밀 광고 제안서가 포함됐다. Claroc은 그 밖에 포춘 500대 기업 6곳을 포함해 30개 조직에서 피해 앱을 발견했지만, 기업 이름은 공개하지 않았다.

Claroc이 자체 테스트를 위해 만든 앱 2개에서는 공개 설정 외에도 문제가 드러났다. 한 앱은 익명의 방문자가 연락처를 추가할 수 있는 데이터베이스를 갖고 있었다. 다른 앱에서는 Grok이 생성한 코드가 로그인한 방문자의 소속을 확인하기 전에 팀에 추가해, 외부 계정으로도 기록을 읽고 수정하거나 삭제할 수 있었다. Claroc은 자체 앱에서만 쓰기와 삭제를 시험했다고 밝혔다.

## 앞으로 어떻게 되나?

SpaceXSI는 앱은 제작자가 공유하기 전까지 비공개이며 게시에는 여러 단계가 필요하고 직원 계정의 기본 설정은 ‘나만’이라고 밝혔다. 그러나 Claroc은 최종 게시 화면에서 링크가 있는 모든 사용자에게 접근을 허용하는 옵션이 미리 선택돼 있다면 노출을 막지 못한다고 지적했다. Claroc은 비공개 접근을 기본값으로 설정하고, 로그인 기능 없이 데이터베이스를 사용하는 앱에는 경고를 표시하라고 권고했다.

SpaceXSI는 직원이 만든 앱 24개를 오프라인으로 전환했지만, Claroc은 다른 노출 앱은 여전히 이용할 수 있다고 밝혔다. 회사가 앱 소유자에게 직접 연락하겠다고 약속하지 않아 Claroc이 이들에게 직접 알리고 있다고 한다. Claroc은 AI로 만든 앱을 위한 보안 제품을 판매하므로 조사 결과를 평가할 때 이 점도 고려할 필요가 있다. 이번 사건은 앞서 불거진 Grok의 개인정보 보호 문제에 이어 발생했으며, Claroc이 Meta와 Anthropic의 공유 기능에서 보고한 문제와도 유사하다.

## 팩트

- Claroc은 온라인 상태인 Grok 제작 앱 37,571개를 조사해 로그인 없이 접근할 수 있는 앱 35,578개를 발견했다.
- Claroc에 따르면 접근 가능한 앱 35,578개는 조사 표본의 94.7%였다.
- Claroc은 앱 650~800개에 비공개 데이터가 포함된 것으로 추정했다.
- Claroc은 SpaceXSI와 X 직원이 만든 외부 접근 가능 앱 24개를 발견했으며, SpaceXSI는 이후 해당 앱을 오프라인으로 전환했다.
- Claroc은 포춘 500대 기업 6곳을 포함한 다른 30개 조직에서도 피해 앱을 발견했다고 밝혔다.

## 왜 중요한가

Grok으로 만든 앱을 게시한 사람은 접근 범위가 제한될 것으로 생각했더라도 앱 내용을 노출할 수 있으며, 일부 앱에는 개인정보나 기업 데이터가 들어 있을 수 있다. SpaceXSI는 직원들의 앱을 내렸지만 Claroc에 따르면 다른 노출 앱은 여전히 이용 가능하다. 해당 앱 소유자에게 통보됐는지, 접근 설정이 바뀔지는 분명하지 않다.

## 출처 및 참고 자료

1. [Grok-built apps exposed patient data, plaintext passwords, and SpaceXSI's own sales pipeline](https://the-decoder.com/grok-built-apps-exposed-patient-data-plaintext-passwords-and-spacexsis-own-sales-pipeline/) – The Decoder, 2026-11-11

최종 업데이트: 2026-11-11