Grokilla tehdyistä sovelluksista 35 000 aukesi ilman kirjautumista – joukossa potilastietoja ja selväkielisiä salasanoja
Julkaisunäkymä tarjosi oletuksena jakoa kaikille linkin saaneille, eikä sovelluksen omaa verkko-osoitetta voinut pitää salaisena.
Tiivistelmä
Tietoturvayhtiö Claroc löysi yli 35 000 Grokin sovellustyökalulla tehtyä sovellusta, jotka aukesivat ilman kirjautumista, ja osa niistä sisälsi yksityistä tietoa. Lukuja ei ole varmennettu riippumattomasti. Suomalainen yritys, joka on tallentanut henkilötietoja tällaiseen sovellukseen, on rekisterinpitäjä ja voi joutua ilmoittamaan tietoturvaloukkauksesta 72 tunnin kuluessa.
Tuntikirjanpitoa varten rakennettu pieni verkkosovellus säilytti 18 käyttäjätilin salasanat selväkielisinä, ja ne näki kuka tahansa, joka sattui avaamaan sovelluksen osoitteen.
Samasta Clarocin aineistosta löytyi potilaiden laboratoriotuloksia ja tehohoidon tilannekatsauksia.
Tietoturvayhtiö Claroc kertoo löytäneensä noin 43 600 Grokin sovellustyökalulla tehdyn sovelluksen osoitetta, joista 37 571 oli verkossa. Niistä 35 578 eli 94,7 prosenttia aukesi ilman kirjautumista.
Grok on SpaceXSI:n omistama tekoälyavustaja, jonka sovellustilassa käyttäjä voi rakentaa toimivan verkkosovelluksen muutamassa minuutissa pelkän keskustelun pohjalta.
Kyse ei ole erillisestä Grok Build -ohjelmointityökalusta, vaikka osa uutisoinnista on käyttänyt sitä nimeä.
Avoin sovellus ei automaattisesti ole vuoto. Claroc arvioi, että noin joka kymmenes avoimista sovelluksista sisälsi yrityksen sisäisiä tietoja tai henkilötietoja ja noin kaksi prosenttia luokiteltiin vakavuudeltaan korkeiksi tai kriittisiksi.
Yksityistä tietoa oli Clarocin arvion perusteella noin 650–800 sovelluksessa. Terveystietojen lisäksi löydöksissä oli henkilöstön työvuorolistoja, kuljettajaluetteloita henkilökohtaisine sähköpostiosoitteineen, myyntiputkia ja asiakasrekistereitä.
Myös SpaceXSI:n omat sovellukset auki
Clarocin tietoturvatutkija Asaf Aprozper kirjoittaa yhtiön blogissa 10. marraskuuta, että avoimena oli myös 24 SpaceXSI:n ja X:n työntekijöiden tekemää sovellusta. Niiden joukossa oli myyntialueiden kartta, joka kattoi 594 asiakastiliä, sekä kahdeksan mainostarjousta ja seitsemän kampanjaraporttia.
Aprozper kertoo, että ensimmäiset kaksi SpaceXSI:n sovellusta ilmoitettiin 8. marraskuuta ja loput 22 seuraavana päivänä. Grokin omistaja poisti omat sovelluksensa 10. marraskuuta vastattuaan toimittajan kysymyksiin, mutta muiden käyttäjien sovelluksiin se ei koskenut.
Claroc tunnisti aineistosta 30 organisaatiota, joista kuusi kuuluu Fortune 500 -listalle ja 26:ssa on yli 1 000 työntekijää. Kahdeksantoista niistä on yhdysvaltalaisia ja loput 12 sijaitsevat 11 muussa maassa. Eurooppaa tai Suomea Claroc ei mainitse, eikä suomalaisista uhreista ole tietoa.
Cloud Security Alliance toisti luvut 11. marraskuuta julkaistussa tutkimusmuistiossaan mutta huomauttaa, ettei niitä ole varmennettu riippumattomasti.
Osoite ei ollut salainen
Claroc kertoo, että jokainen sovellus sai oman verkko-osoitteensa ja että tällaiset osoitteet päätyvät julkisiin passiivisen DNS-tiedon tietokantoihin. Julkaisunäkymässä oli valmiiksi valittuna jako kaikille, joilla on linkki.
Passiivinen DNS-tieto
Kun verkko-osoitetta käytetään, sen nimihauista jää merkintöjä julkisiin tietokantoihin. Siksi sovelluksen oma, muka salainen osoite ei pysy piilossa. Jako "kaikille, joilla on linkki" ei ole yksityinen, vaikka linkkiä ei olisi lähetetty kenellekään.
Claroc kertoo SpaceXSI:n vastanneen, että sovellukset ovat yksityisiä siihen asti, kunnes tekijä jakaa ne, ja että työntekijöiden tileillä oletuksena on "Vain sinä". Clarocin mukaan SpaceXSI myönsi, että sama oletus kuuluisi myös tavallisille käyttäjille.
Vastaavia ongelmia on aiemmin löytynyt Lovable- ja Base44-sovellusrakentajista vuonna 2025, ja saman vuoden elokuussa hakukoneet indeksoivat yli 370 000 jaettua Grok-keskustelua.
Yritys vastaa tiedoistaan
Suomalaisen tai EU:n tietosuojaviranomaisen osallisuudesta tapaukseen ei löytynyt tietoa.
Vastuu ei silti siirry työkalun tekijälle, jos suomalainen pienyritys on rakentanut sovelluksen ja tallentanut siihen asiakkaidensa tai työntekijöidensä henkilötietoja, sillä Tietosuojavaltuutetun ohjeiden perusteella rekisterinpitäjä on tietoja käsittelevä yritys itse.
Jos tietoturvaloukkaus aiheuttaa riskin ihmisille, siitä on ilmoitettava Tietosuojavaltuutetulle 72 tunnin kuluessa. Ilmoituksen voi tehdä ensin alustavana ja täydentää myöhemmin.
Jos riski on korkea, myös niille, joiden tietoja vuoto koskee, on kerrottava.
Mitä tehdä
Jos olet tehnyt sovelluksen Grokilla tai vastaavalla työkalulla:
- Vaihda jakoasetukseksi "Vain sinä" tai pelkät kutsutut käyttäjät.
- Avaa sovellus selaimen yksityisessä ikkunassa uloskirjautuneena ja tarkista, näkyykö sisältö.
- Poista sovellukset, joita et enää käytä.
- Jos henkilötietoja on ollut esillä, kirjaa loukkaus, arvioi sen riski ja ilmoita Tietosuojavaltuutetulle 72 tunnin kuluessa osoitteessa https://tietosuoja.fi/ilmoitus-tietoturvaloukkauksesta. Ohjeet löytyvät osoitteesta https://tietosuoja.fi/tietoturvaloukkaukset.
Jos tietosi voivat olla tällaisessa sovelluksessa:
- Vaihda salasana, jonka olet antanut tällaiseen sovellukseen, ja kaikkialla muualla, missä olet käyttänyt samaa.
- Tietosuojavaltuutetun ohjeet tietoturvaloukkauksen kohteeksi joutuneelle ovat osoitteessa https://tietosuoja.fi/jos-joudut-tietoturvaloukkauksen-kohteeksi.
Alustan laajuisesta korjauksesta ei ollut kerrottu torstaihin mennessä, ja Claroc jatkaa asianomaisten organisaatioiden tiedottamista.
Lähteet
- Claroc (10.11.2026)
- Cloud Security Alliance (11.11.2026)
- Mobiili.fi (11.11.2026)
- Tietosuojavaltuutettu: Tietoturvaloukkaukset