Los dispositivos móviles se han convertido en un objetivo atractivo para los ciberdelincuentes debido a la gran cantidad de información personal que almacenan los usuarios. Además, gran parte de las actividades cotidianas depende de las aplicaciones, por lo que conseguir que una persona descargue un programa malicioso o revele sus credenciales puede abrirles la puerta a datos sensibles.
Ante este escenario, expertos en ciberseguridad identificaron más de 35.000 aplicaciones desarrolladas con Grok Build que permanecían accesibles para cualquier usuario. El hallazgo dejó en evidencia una vulnerabilidad en el diseño de los enlaces para compartir estas herramientas, que habría dejado expuesta información privada.
Grok Build es un agente de IA de SpaceXSI que permite desarrollar aplicaciones a partir de instrucciones escritas o de voz, sin necesidad de conocimientos de programación. Las herramientas creadas pueden compartirse con otras personas a través de enlaces, pero una falla en el diseño de este sistema habría permitido que cualquier usuario localizara miles de estas direcciones y accediera a la información almacenada en las aplicaciones, incluidos datos confidenciales de distintas empresas y de la propia SpaceXSI.
De acuerdo con la compañía de ciberseguridad Claroc, en un informe citado por Ars Technica, Grok genera enlaces únicos para cada aplicación mediante la combinación de palabras aleatorias, con el propósito de evitar que otras personas puedan adivinarlos. Bajo este mecanismo, únicamente quienes conocen la dirección exacta deberían tener acceso a la información almacenada en cada herramienta.
Sin embargo, la vulnerabilidad estaría relacionada con la ubicación de esas palabras dentro de los enlaces, ya que aparecen antes del dominio grok.me. Esto permite que los servicios de DNS pasivo, que recopilan y registran las direcciones consultadas en internet, identifiquen y enumeren estas URL. Como resultado, terceros pueden localizar los enlaces sin necesidad de conocerlos previamente y acceder a las aplicaciones y sus datos.
A diferencia de este mecanismo, otros servicios, como Google, ubican los caracteres aleatorios después del dominio en los enlaces que generan. Esta estructura impide que las direcciones queden expuestas en los registros de DNS pasivo y dificulta que terceros puedan identificarlas mediante este tipo de consultas.
Además, la vulnerabilidad detectada permitiría que cualquier persona que encuentre uno de estos enlaces pueda abrir la aplicación y consultar la información almacenada.
De acuerdo con el informe, entre los contenidos expuestos figuraban un mapa de las zonas de ventas de SpaceXSI, una propuesta publicitaria de X dirigida a una agencia federal de Estados Unidos y clasificada como confidencial, así como resultados de laboratorio de un paciente ingresado en cuidados intensivos. También se encontraron listados de empleados de un grupo hospitalario y una hoja de control de horarios que incluía las contraseñas de los trabajadores.
Ante la publicación de estos hallazgos, Grok respondió a través de su cuenta en la red social X y calificó el artículo como “incorrecto”. Según la compañía, el informe hacía referencia a “la función de creador de aplicaciones en grok.com, no a Grok Build”.
La empresa también sostuvo que las aplicaciones permanecen “son privadas hasta que su creador elige publicarlas”. Para explicar este procedimiento, indicó que el usuario debe seleccionar la opción de publicar, revisar los ajustes para compartir el contenido y confirmar nuevamente su decisión. Posteriormente, aparece una advertencia que también debe ser aceptada antes de completar el proceso.
Finalmente, tras conocerse el informe de ciberseguridad, SpaceXSI tomó medidas y retiró las 24 aplicaciones propias que contaban con enlaces públicos.