그록 빌드 앱 3만5578개 로그인 없이 열렸다

그록 빌드 앱 3만5578개가 조사 당시 로그인 없이 열렸다. 이는 접속 가능했던 앱 3만7571개 가운데 94.7%로, 민감정보가 든 앱이나 실제 피해 사례가 그만큼이라는 뜻은 아니다.

보안업체 Claroc은 10일 공개한 조사 보고서에서 grok.me 하위 도메인 앱 주소 4만3551개를 조사했다고 밝혔다. 로그인 여부 판정은 조사 당시 온라인 상태인 앱을 대상으로 했다.

그록 빌드는 이용자가 대화로 앱·게임·웹사이트 등을 만들고 게시하는 도구다. SpaceXSI는 8월 19일 제품 안내에서 웹과 모바일의 모든 요금제에 이 기능을 제공한다고 밝혔다.

게시된 앱마다 고유한 grok.me 주소가 붙는다. 제작자는 접근 범위를 ‘나만’, ‘링크가 있는 사람’, ‘전체 공개’ 중에서 고른다.

Claroc이 지적한 문제는 링크를 직접 전달받지 않은 사람도 앱 주소를 찾아낼 수 있다는 점이다. 앱을 열 때 생기는 DNS 조회 기록이 패시브 DNS 서비스에 남을 수 있고, 이 기록을 검색하면 앱 주소를 발견할 수 있다는 설명이다.

Claroc은 온라인 상태인 공개 앱 대부분이 게임·소개 페이지·계산기였고, 조사에서 확인한 앱이 모두 민감정보를 담은 것은 아니라고 밝혔다. 다만 일부 앱에서 병원 직원 명단과 중환자 정보가 확인됐으며, 한 근무표 앱 코드에는 직원 계정 비밀번호가 암호화되지 않은 채 들어 있었다고 보고했다.

내부 자료가 든 공개 앱의 소속을 식별할 수 있었던 곳은 SpaceXSI와 X 외에 30개 조직이었다. 이 가운데 26곳은 직원 1000명 이상, 6곳은 포춘 500 기업이었다고 보고서는 적었다.

SpaceXSI와 X 직원이 만든 앱 24개도 조사 대상에 포함됐다. Claroc은 이 앱들에서 기밀 표시가 붙은 신규 직원 온보딩 계획, 594개 계정의 영업 지역 지도, 광고 제안서 등을 확인했다고 밝혔다.

Claroc은 11월 8일 SpaceXSI에 문제를 알렸다. 다음 날에는 추가로 확인한 직원 앱을 전달했다. 보고서에는 SpaceXSI가 직원 제작 앱 24개를 내렸다고 적혔다.

Claroc은 자체 테스트 앱 두 개로 게시 설정과 인증 동작을 살폈다. 팀용 테스트 앱에서는 초대받지 않은 구글 계정이 자체 데이터를 읽고 수정·삭제할 수 있었다고 밝혔다.

데이터 변경 시험은 Claroc이 만든 앱에서만 이뤄졌다. 다른 이용자 앱의 데이터를 수정하거나 서버 함수를 호출하지 않았다고 Claroc은 설명했다.

게시 설정의 기본값을 두고는 Claroc의 설명과 SpaceXSI의 답변이 달랐다. Claroc은 유료 테스트 계정에서 ‘링크가 있는 사람’이 선택돼 있었다고 밝혔고, SpaceXSI는 제작자가 공유를 선택하기 전까지 앱은 비공개이며 직원 계정의 기본값은 ‘나만’이라고 답했다고 전했다.

SpaceXSI의 공식 제품 안내는 일반 이용자 계정의 기본 선택값을 별도로 밝히지 않았다. 따라서 Claroc의 유료 테스트 계정 사례와 SpaceXSI가 설명한 직원 계정 기본값은 구분해 볼 필요가 있다.

Claroc은 △비공개를 기본값으로 설정 △조직 이메일 도메인 기반 접근 권한 마련 △단일 호스트 아래 경로 사용 △데이터베이스와 로그인 기능이 없는 앱에 게시 전 경고 표시 등을 제안했다. 보고서 공개 시점까지 관련 조직 3곳에 이메일로 알렸다고 밝혔다.