Op 10 november 2026 meldde beveiligingsbedrijf Claroc dat 35.578 van de 37.571 Grok Build-apps die tijdens het onderzoek nog online waren, zonder inloggen toegankelijk waren. Dat is 94,7% van die onderzochte groep. Claroc beschreef ook apps met interne bedrijfsinformatie en persoonsgegevens; toegang zonder account betekent niet automatisch dat een app gevoelige gegevens bevatte. Het rapport van Claroc beschrijft de telling en de tests.
Wat Claroc telde en welke gegevens opdoken
Claroc identificeerde 43.601 hostnamen onder grok.me en probeerde 43.551 appadressen. Daarvan waren er 37.571 nog online; bij 35.578 daarvan was geen aanmelding nodig om de app te openen. Claroc bekeek de eerste pagina van elke app eenmaal, zonder in te loggen, en onderzocht opgeslagen kopieën offline.
De omvang van de groep zegt niet hoeveel apps gevoelige informatie bevatten. Claroc schatte dat ongeveer één op de tien open apps gevoelige, interne bedrijfs- of persoonlijke gegevens bevatte. Bij ongeveer 2% zou het gaan om informatie met een hoge of kritieke ernst. Die schattingen waren gebaseerd op geautomatiseerde signalering, handmatige controle en steekproeven.
De voorbeelden liepen uiteen. Claroc beschreef onder meer een doorzoekbare personeelslijst met ruim 3.500 medewerkers van een ziekenhuisgroep, een briefing over een patiënt op de intensive care en een brandweerrooster met namen en dienstgegevens. In een script bij een urenstaat van een aannemer vond Claroc volgens het rapport 18 accounts met wachtwoorden in leesbare tekst, waaronder beheerdersaccounts. Ook vond het interne gegevens van 30 andere organisaties; 26 daarvan hadden meer dan 1.000 medewerkers en zes stonden in de Fortune 500.
Bij apps van medewerkers van SpaceXSI en X trof Claroc 24 publiek toegankelijke voorbeelden aan, waaronder een vertrouwelijk inwerkplan en een verkoopkaart met 594 strategische accounts.
Waarom een app-hostnaam via passieve DNS vindbaar kan zijn
Grok Build-apps kregen volgens Claroc elk een eigen hostnaam onder grok.me. DNS vertaalt zo’n hostnaam naar het adres van de server. Passieve DNS-diensten verzamelen gegevens over zulke opzoekingen, waardoor een hostnaam in een doorzoekbare index kan belanden. Een willekeurige reeks tekens in de hostnaam maakt die route dus niet onzichtbaar.
Een geheim in het pad van een URL, het deel na de domeinnaam, staat niet in de DNS-opvraging. Dat neemt andere risico’s niet weg: Claroc waarschuwde dat zoekmachines of linkscanners ook URL’s met zo’n pad kunnen vinden.
| Linkstructuur | Wat DNS kan zien | Andere mogelijke vindbaarheid volgens Claroc |
App met een eigen hostnaam, zoals een adres onder grok.me | De hostnaam die wordt opgevraagd | Passieve DNS kan de hostnaam indexeren; de ingestelde toegangsrechten bepalen wie de app kan openen. |
| Geheim kenmerk in het pad van een URL | De domeinnaam, niet het pad | Zoekmachines en linkscanners kunnen de URL alsnog vinden. |
Een lastig te raden hostnaam beperkt de toegang niet: daarvoor zijn de toegangsrechten van de app bepalend.
Wat Clarocs eigen tests lieten zien
Claroc testte schrijf- en toegangsrechten in twee apps van eigen makelij, met verzonnen gegevens. In één test kon een bezoeker zonder aanmelding een contact toevoegen. In de andere kon een niet-uitgenodigde Google-account klantgegevens bekijken, wijzigen en verwijderen.
Die resultaten betroffen de twee testapps van Claroc. De tests omvatten geen aanmelding bij apps van andere gebruikers, het invullen van hun formulieren of wijzigingen in hun gegevens.
Deelinstellingen en de gemelde reactie
In Clarocs betaalde testaccount stond ‘Iedereen met de link’ vooraf geselecteerd. SpaceXSI vertelde een journalist afzonderlijk dat accounts van medewerkers standaard op ‘Alleen jij’ stonden. De twee meldingen betroffen verschillende accounttypen.
Claroc zei dat het SpaceXSI op 8 november 2026 over de bevindingen informeerde en op 9 november nog 22 apps van medewerkers meldde. Volgens Claroc haalde SpaceXSI de 24 apps van medewerkers na de melding offline. Apps van andere gebruikers stonden volgens het rapport nog online toen Claroc het op 10 november publiceerde.
Claroc stelde voor gedeelde apps onder één hostnaam te plaatsen met moeilijk te raden paden, toegang via het e-maildomein van een organisatie mogelijk te maken en standaard ‘Alleen jij’ te gebruiken. Het bedrijf adviseerde ook om vóór publicatie duidelijk te tonen wie een app kan openen en een waarschuwing te geven wanneer een app een database heeft maar geen aanmelding vereist.
