Standaard deelinstellingen van Grok onthullen privégegevens van kleine teams

De low-code bouwer van Grok lijkt misschien een productiviteitswonder, maar een nieuw rapport van beveiligingsbedrijf Claroc toont aan dat bijna elke ermee gemaakte app standaard openbaar is voor de hele wereld. Het meest opvallende feit? 35.578 van de 37.571 actieve Grok-apps – 94,7% – kunnen door iedereen met de link worden geopend, waardoor alles van ICU-labwaarden tot wachtwoorden in platte tekst lekt.

Wat is er gebeurd

Volgens The Decoder scante Claroc 37.571 online Grok-apps en ontdekte dat er 35.578 openbaar toegankelijk waren. De standaardoptie "Iedereen met de link" is vooraf geselecteerd in het dialoogvenster voor publiceren, wat betekent dat een maker alleen op "Publiceren" hoeft te klikken om de app te laten verschijnen op een uniek subdomein (bijv. appname.grok.me). Die subdomeinen duiken op in passieve DNS-databases, waardoor ze doorzoekbaar zijn op patroon.

Onder de 24 openbaar bereikbare apps van SpaceXSI (het bedrijf achter Grok, voorheen xAI) bevonden zich een vertrouwelijk inwerkplan, een verkoopterritoriumkaart met 594 strategische accounts en acht interne advertentievoorstellen – waarvan er één als vertrouwelijk was gemarkeerd voor een Amerikaanse federale instantie. Claroc schat dat 650-800 apps privégegevens bevatten en classificeert ongeveer twee procent als "bij erg slecht". Bevestigde lekken omvatten een ICU-briefing met labwaarden van patiënten, een lijst van meer dan 3.500 ziekenhuismedewerkers, een ploegenrooster voor de brandweer en een urenregistratie-app waarvan de broncode 18 accounts met wachtwoorden in platte tekst opsloeg.

Claroc bouwde ook twee test-apps om de beveiliging van het platform te onderzoeken. Eén contactenlijst-app had een database zonder inloggegevens, waardoor anonieme bezoekers vermeldingen konden toevoegen. In een app met een lijst van het verkoopteam voegde Grok automatisch elke geauthenticeerde Google- of X-gebruiker toe aan het team voordat de lidmaatschap werd gecontroleerd, waardoor een extern Google-account records kon lezen, bewerken en verwijderen. Het bedrijf merkt op dat het wijzigen van de privacy-instelling van de app in "Alleen jij" externe toegang blokkeert, maar dat is niet de standaardinstelling. Daarentegen stond een vergelijkbare test-app gebouwd met ChatGPT standaard ingesteld op "Alleen ik".

De reactie van SpaceXSI was beperkt tot de mededeling dat apps privé blijven totdat de maker ze deelt en dat medewerkersaccounts standaard op "Alleen jij" staan. Claroc werpt tegen dat de extra klikken geen zin hebben wanneer "Iedereen met de link" vooraf is geselecteerd bij de laatste stap. Het bedrijf heeft de 24 medewerkersapps offline gehaald, maar de bredere groep openbare apps ongemoeid gelaten.

Waarom dit belangrijk is voor kleine teams

Als je een leider van een klein bedrijf bent die Grok heeft gebruikt om interne dashboards, rekenmachines of onboardingstools te maken, dan zit je waarschijnlijk op een openbaar bereikbaar eindpunt zonder dat je het weet. Het standaardeindeelmodel verandert een gemakselfunctie in een datalekvector, en de passieve DNS-voetafdruk betekent dat iedereen met een beetje nieuwsgierigheid je app-URL's kan ontdekken. Voor een verkoopteam kan dat betekenen dat je pijplijn, strategische accounts of zelfs vertrouwelijke voorstellen aan concurrenten worden blootgesteld. Voor HR of operaties kan dit betekenen dat werknemerslijsten, dienstroosters of gezondheidsgegevens lekken – een nachtmerrie voor compliance en merkvertrouwen.

Het feit dat ongeveer één op de tien apps gevoelig materiaal bevatte en dat Claroc 30 organisaties (waaronder zes Fortune 500-bedrijven) identificeerde die getroffen waren, toont aan dat dit geen Niche-probleem is. Kleine teams hebben vaak geen toegewijd beveiligingspersoneel, waardoor een standaard open instelling langs interne beoordelingen kan glippen. Kort gezegd heeft het gemak van Grok een verborgen prijskaartje: je zendt mogelijk je meest gevoelige bedrijfsgeheimen uit naar het internet.

Wat je deze week kunt doen

1. Controleer elke Grok-app die je bezit – open elke app-URL in een incognito-venster; als deze laadt zonder inloggen, wijzig dan onmiddellijk de privacy-instelling in "Alleen jij".
2. Hernoem of verwijder openbare subdomeinen – verplaats kritieke apps naar een gedeelde host met obscure paden, of verwijder ze als ze niet langer nodig zijn.
3. Implementeer een checklist voor toekomstige builds – vereis een verplichte beveiligingsbeoordelingsstap die verifieert dat standaard delen is uitgeschakeld en dat elke database de juiste authenticatie heeft voordat deze wordt gepubliceerd.

Bronnen

• Grok-built apps exposed patient data, plaintext passwords, and SpaceXSI's own sales pipeline — The Decoder