The Pulse

Claroc trova dati dei pazienti e password in app aperte create con Grok

Secondo Claroc, 35.578 app attive create con Grok si aprivano senza accesso, comprese alcune contenenti informazioni sui pazienti e password dei dipendenti. SpaceXSI ha rimosso 24 app create dai propri dipendenti e da quelli di X dopo la segnalazione dei ricercatori, afferma Claroc.

AI.info Team · · verificato · su 1 fonte ↓ · Pubblicato 11 nov 2026

Informazioni sui pazienti, password dei dipendenti e documenti aziendali riservati sono comparsi in app create con Grok e accessibili pubblicamente, secondo un rapporto della società di sicurezza Claroc. Claroc ha dichiarato che 35.578 delle 37.571 app attive testate si aprivano senza accesso, anche se la maggior parte non conteneva il materiale sensibile descritto nei risultati della ricerca.

I ricercatori hanno stimato che circa 650-800 app contenessero dati privati. La modalità Build di Grok consente di descrivere un’app in una chat e di farla scrivere a Grok.

Che cosa hanno trovato i ricercatori

Claroc ha dichiarato di aver usato tecniche di individuazione dei sottodomini per raccogliere 43.601 nomi di app sotto grok.me e di aver provato 43.551 indirizzi. Tra le app attive, 1.993, pari al 5,3%, restituivano l’errore associato all’accesso riservato al proprietario o agli utenti invitati.

La società ha dichiarato che la maggior parte delle app aperte erano giochi, pagine di destinazione e calcolatrici. Ha stimato che circa una su 10 contenesse materiale aziendale o personale sensibile e che circa il 2% contenesse materiale classificato con un livello di gravità alto o critico.

Secondo il rapporto, un’app conteneva un riepilogo di terapia intensiva relativo a un singolo paziente, con risultati di laboratorio, immagini diagnostiche e stato della ventilazione meccanica. Un’altra era un’app per un evento del personale di un gruppo ospedaliero, con un elenco consultabile di oltre 3.500 dipendenti.

Il codice di un’app per la rilevazione delle ore di lavoro di un appaltatore conteneva 18 account con password in chiaro, compresi account di amministratore. Tra gli altri esempi figuravano una tabella dei turni di un corpo dei vigili del fuoco con nomi, numeri di matricola e orari di servizio, e una checklist di una nave da crociera con i nomi dei membri dell’equipaggio e i loro identificativi di dipendenti.

Oltre a SpaceXSI e X, Claroc ha individuato 30 organizzazioni con dati interni in app aperte, tra cui 26 con più di 1.000 dipendenti e sei aziende della Fortune 500.

Come sono state individuate le app

Ogni app Grok pubblicata riceve un proprio nome host sotto grok.me. Claroc ha spiegato che, quando qualcuno apre un’app, la ricerca DNS del nome host può essere raccolta da servizi DNS passivi e individuata tramite una ricerca per pattern.

I ricercatori hanno dichiarato di aver caricato la prima pagina di ogni app dalla rete Internet pubblica senza effettuare l’accesso, per poi leggere offline le copie salvate. Un modello di IA ha segnalato le pagine che sembravano private e il team ha controllato manualmente le app segnalate. Il team ha dichiarato di non aver inviato moduli, richiamato funzioni del server o usato password o chiavi trovate nelle app di altre persone.

I test e la risposta dell’azienda

Claroc ha dichiarato di aver creato due app con dati fittizi per testare le impostazioni di Grok. Nell’account utilizzato, la pubblicazione richiedeva un piano a pagamento. In quell’account, il pannello di pubblicazione offriva l’accesso a chiunque avesse il link, agli utenti invitati o al solo proprietario, con la prima opzione già selezionata.

Una delle app di prova era un elenco clienti per un team di vendita. Claroc ha dichiarato che Grok aveva aggiunto una funzione di accesso, ma che un account Google non invitato poteva entrare, visualizzare i clienti, modificare un record ed eliminarne un altro perché il codice generato aggiungeva il visitatore al team prima di verificarne l’appartenenza. I ricercatori hanno sottolineato di aver testato la scrittura e la cancellazione solo sulle proprie app.

Secondo Claroc, SpaceXSI ha dichiarato a un giornalista che le app Grok rimangono private finché il loro creatore non sceglie di condividerle e che la pubblicazione richiede diversi passaggi. L’azienda ha inoltre affermato che gli account dei dipendenti sono impostati per impostazione predefinita con l’accesso riservato al solo proprietario.

Rimosse le app dei dipendenti

I ricercatori hanno trovato 24 app aperte create da dipendenti di SpaceXSI e X, tra cui un piano riservato di inserimento e una mappa dei territori di vendita che comprendeva 594 clienti strategici. Il materiale comprendeva anche otto proposte pubblicitarie, piani media e presentazioni di X, una delle quali contrassegnata come riservata e indirizzata a un’agenzia federale statunitense.

Claroc ha segnalato il problema a SpaceXSI l’8 novembre e ha fornito ulteriori risultati il giorno successivo. Entro il 10 novembre, l’azienda aveva rimosso le 24 app dei dipendenti, ma non le app aperte appartenenti ad altri utenti e organizzazioni, secondo il rapporto.

La società di sicurezza ha dichiarato di aver iniziato a informare le organizzazioni interessate e di averne contattate tre via email entro la pubblicazione. Non ha divulgato nomi host, titoli delle app e link che potessero condurre i lettori a un’app o a una persona.