Grok 빌드 앱 보안 취약점 조사 보고서

보안 기업 Claroc이 10일 공개한 조사 보고서에 따르면, Grok 빌드 앱을 통해 생성된 3만5,578개의 앱이 조사 당시 로그인 없이 접근 가능한 상태였다. 이는 총 3만7,571개 중 접근 가능했던 앱의 94.7%에 해당하는 수치이며, 반드시 모든 앱이 민감 정보를 포함하거나 실제 피해 사례가 발생했음을 의미하지는 않는다.

Claroc은 grok.me 하위 도메인 주소를 사용하는 총 4만3,551개의 앱을 조사했으며, 로그인 여부 판정은 조사 시점에 온라인 상태인 앱을 대상으로 진행되었다. Grok 빌드는 사용자가 대화를 통해 앱, 게임, 웹사이트 등을 만들고 게시할 수 있는 도구로, SpaceX(SI)는 8월 19일 제품 안내를 통해 웹과 모바일 요금제 전반에 이 기능을 제공한다고 밝혔다.

게시된 각 앱에는 고유한 grok.me 주소가 부여되며, 제작자는 접근 범위를 ‘나만’, ‘링크가 있는 사람’, ‘전체 공개’ 중 선택할 수 있다. 그러나 Claroc은 링크를 직접 전달받지 않은 사용자라도 앱 주소를 찾아낼 수 있다는 점을 지적하며, 앱 접근 시 발생하는 DNS 조회 기록이 패시브 DNS 서비스(Passive DNS)에 남을 수 있고, 이를 검색하면 앱 주소를 발견할 가능성이 있다고 설명했다.

민감 정보 노출 및 조직별 현황

Claroc은 온라인 상태인 공개 앱 대부분이 게임, 소개 페이지, 계산기 등이었으며, 조사 대상 앱 중 모두 민감 정보를 담고 있는 것은 아니라고 밝혔다. 다만 일부 앱에서 병원 직원 명단과 중환자 정보가 확인되었으며, 한 근무표 앱 코드에는 직원의 계정 비밀번호가 암호화되지 않은 상태로 포함되어 있는 것으로 보고되었다.

공개 앱 내 내부 자료가 포함된 조직은 SpaceX(SI)와 X 외에 30개 더 있었다. 이 중 26곳은 직원 수가 1,000명 이상인 기업이었으며, 6곳은 포춘 500대 기업이었다. 또한 SpaceX(SI)와 X 직원이 제작한 앱 24개도 조사 대상에 포함되었다. Claroc은 이들 앱에서 기밀 표시가 붙은 신규 직원 온보딩 계획, 594개 계정의 영업 지역 지도, 광고 제안서 등의 정보를 확인했다.

보안 조치 및 대응

Claroc은 11월 8일 SpaceX(SI)에 문제를 알렸으며,翌日 추가로 확인된 직원용 앱 목록을 전달했다. 보고서에는 SpaceX(SI)가 직원 제작 앱 24개를 해지했다고 명시되어 있다.

Claroc은 자체 테스트 앱 두 개를 통해 게시 설정과 인증 동작을 점검했다. 팀용 테스트 앱에서는 초대받지 않은 구글 계정이 자체 데이터를 읽고 수정·삭제할 수 있는 것으로 나타났다. 데이터 변경 시험은 Claroc이 만든 앱에서만 이루어졌으며, 다른 이용자의 데이터를 수정하거나 서버 함수를 호출하지 않았다고 밝혔다.

기본 게시 설정과 관련하여 Claroc의 설명과 SpaceX(SI)의 답변에는 차이가 존재한다. Claroc은 유료 테스트 계정에서 기본값이 ‘링크가 있는 사람’으로 설정되어 있었다고 밝혔으나, SpaceX(SI)는 제작자가 공유 옵션을 선택하기 전까지 앱은 비공개이며, 직원 계정의 기본값은 ‘나만’이라고 응답했다. 반면 SpaceX(SI)의 공식 제품 안내에서는 일반 이용자 계정의 기본 선택값을 별도로 명시하지 않았다. 따라서 Claroc이 언급한 유료 계정 사례와 SpaceX(SI)가 설명한 직원 계정 기본값은 구분하여 검토할 필요가 있다.

Claroc은 다음과 같은 보안 개선 사항을 제안했다:

• 비공개를 기본값으로 설정
• 조직 이메일 도메인을 기반으로 접근 권한 마련
• 단일 호스트 아래 경로 사용
• 데이터베이스 및 로그인 기능이 없는 앱에 게시 전 경고 표시

보고서 공개 시점까지 관련 조직 3곳에 이메일로 이러한 권고가 전달되었다.