El 10 de noviembre de 2026, Claroc informó que 35.578 de las 37.571 aplicaciones de Grok que seguían en línea durante su análisis podían abrirse sin iniciar sesión: el 94,7 % de ese conjunto. La firma estimó que alrededor de una de cada diez aplicaciones abiertas contenía información sensible, empresarial interna o personal. El informe de Claroc distingue así entre el acceso a una aplicación y el tipo de datos que guardaba.
Claroc identificó 43.601 nombres bajo grok.me y probó 43.551 direcciones de aplicaciones; 37.571 seguían en línea. De esas, 1.993 devolvieron un error HTTP 401. La cifra de 35.578 corresponde a las que se abrían sin iniciar sesión.
Qué información apareció en las aplicaciones
Claroc calculó que cerca del 2 % de las aplicaciones abiertas contenía información que clasificó como de gravedad alta o crítica. Son estimaciones de la firma, no un recuento manual de cada aplicación.
Entre los ejemplos que describió había un listado consultable de más de 3.500 empleados de un grupo hospitalario, un resumen de cuidados intensivos sobre un paciente y un turno de bomberos con nombres, números de placa y horarios. En una hoja de horas de contratistas, un script incluía credenciales en texto plano de 18 cuentas de empleados, entre ellas cuentas de administrador.
Claroc también identificó 24 aplicaciones creadas por personal de SpaceXSI y X. Entre los materiales que atribuyó a esas aplicaciones figuraban un plan confidencial de incorporación y un mapa de ventas con 594 cuentas estratégicas. La firma señaló además datos internos de otras 30 organizaciones.
Para valorar el riesgo, separa dos preguntas: quién puede encontrar el enlace y quién tiene permiso para abrir la aplicación.
Por qué un nombre de host podía aparecer en búsquedas
Cada aplicación publicada tenía un nombre de host propio bajo grok.me. Cuando alguien consulta ese nombre mediante DNS, ciertos servicios de DNS pasivo pueden registrarlo e incorporarlo a índices consultables. Que el nombre incluya palabras aleatorias no impide que aparezca en esos registros, según la explicación de Claroc.
Un identificador situado en la ruta de una dirección web no forma parte de la consulta DNS. Sin embargo, Claroc advirtió que los buscadores y los escáneres de enlaces aún pueden revelar direcciones con identificadores en la ruta.
| Ubicación del identificador | Qué puede registrar DNS | Exposición que puede persistir |
Nombre de host, como una dirección bajo grok.me | La consulta DNS puede dejar el nombre de host en índices de DNS pasivo. | Que el nombre sea localizable no determina por sí solo quién puede abrir la aplicación; eso depende de sus permisos. |
| Ruta de una dirección web | DNS no ve el identificador de la ruta. | Los buscadores y los escáneres de enlaces aún pueden revelar la dirección. |
Qué probaron las aplicaciones de Claroc
Claroc probó la escritura y los permisos en dos aplicaciones propias con datos inventados. En una, una persona sin iniciar sesión pudo añadir un contacto. En la otra, una cuenta de Google que no había sido invitada pudo ver, cambiar y borrar registros de clientes.
La firma dijo que no inició sesión en aplicaciones de terceros, no envió sus formularios ni modificó sus datos. Los resultados de escritura y autorización corresponden a esas dos pruebas controladas.
Ajustes de acceso y cambios propuestos
En la cuenta de pago que usó para sus pruebas, Claroc encontró preseleccionada la opción «Cualquiera con el enlace». Su informe también recogió que SpaceXSI dijo que las cuentas de sus empleados tenían «Solo tú» como opción predeterminada.
Claroc propuso alojar las aplicaciones compartidas bajo un mismo dominio y con rutas difíciles de adivinar, permitir el acceso limitado a dominios de correo de una organización, establecer «Solo tú» como opción predeterminada y mostrar quién podría acceder antes de publicar. También planteó avisos cuando una aplicación tuviera una base de datos, pero no exigiera iniciar sesión.
En su informe, publicado el 10 de noviembre, Claroc dijo que SpaceXSI había retirado las 24 aplicaciones de su personal y que las aplicaciones de otros usuarios seguían abiertas en ese momento.
