622/69 (IT) ประจำวันพฤหัสบดีที่ 12 พฤศจิกายน 2569
บริษัทด้านความมั่นคงปลอดภัยไซเบอร์ Claroc เปิดเผยรายงานการตรวจสอบแอปพลิเคชันที่สร้างขึ้นผ่านฟีเจอร์ Grok Build ของบริษัท SpaceXSI โดยพบว่าจากแอปพลิเคชันที่ยังเปิดใช้งานอยู่บนระบบจำนวน 37,571 รายการ มีถึง 35,578 รายการ หรือคิดเป็นร้อยละ 94.7 ที่เปิดให้บุคคลทั่วไปสามารถเข้าถึงได้โดยไม่ต้องยืนยันตัวตน ข้อมูลที่เปิดเผยสู่สาธารณะนี้ครอบคลุมถึงแอปพลิเคชันจำนวน 24 รายการ ที่สร้างโดยพนักงานของ X และ SpaceXSI เอง ตลอดจนข้อมูลภายในขององค์กรอื่น ๆ อีกอย่างน้อย 30 แห่ง ในกลุ่มอุตสาหกรรมก่อสร้าง พลังงาน การแพทย์ ซึ่งรวมถึงบริษัทในกลุ่ม Fortune 500 จำนวน 6 แห่ง โดยประเมินว่าประมาณ 1 ใน 10 ของแอปพลิเคชันเหล่านี้มีข้อมูลธุรกิจหรือข้อมูลส่วนบุคคล และราวร้อยละ 2 มีข้อมูลสำคัญที่จัดอยู่ในระดับความเสี่ยงสูงถึงวิกฤต
สาเหตุหลักของความเสี่ยงดังกล่าวเกิดจากการตั้งค่าเริ่มต้นในขั้นตอนการเผยแพร่แอปพลิเคชันที่กำหนดสิทธิ์การเข้าถึงเป็นแบบผู้ที่มีลิงก์ทุกคนสามารถเข้าชมได้ (Anyone with the link) ประกอบกับการกำหนดที่อยู่เว็บไซต์ในรูปแบบโดเมนย่อยภายใต้ grok.me ซึ่งทำให้ชื่อโดเมนย่อยถูกบันทึกอยู่ในฐานข้อมูล Passive DNS ที่บุคคลภายนอกสามารถค้นหาและรวบรวมรายชื่อได้โดยไม่ต้องทราบลิงก์มาก่อน นอกจากนี้ การทดสอบของทีมวิจัยยังพบว่าโค้ดระบบเข้าสู่ระบบที่สร้างโดย AI อัตโนมัติมีข้อบกพร่องในการตรวจสอบสิทธิ์ โดยอนุญาตให้บัญชีภายนอกที่ไม่ได้รับเชิญสามารถเข้าถึง แก้ไข หรือลบข้อมูลในฐานข้อมูลได้ จากการตรวจสอบพบข้อมูลสำคัญที่รั่วไหล เช่น แผนการรับพนักงานใหม่ แผนที่เขตการขายและข้อเสนอโฆษณาที่เป็นความลับของ X รายชื่อบุคลากรทางการแพทย์กว่า 3,500 รายการ ข้อมูลผู้ป่วยวิกฤต ตารางเวรของหน่วยงานดับเพลิง และระบบบันทึกเวลาทำงานที่มีการเก็บรหัสผ่านของพนักงานในรูปแบบข้อความธรรมดา (Plain text) ไว้ในโค้ด ทั้งนี้ ภายหลังการแจ้งเตือน SpaceXSI ได้ดำเนินการนำแอปพลิเคชันของพนักงานตนเองทั้ง 24 รายการออกจากระบบแล้ว แต่แอปพลิเคชันของผู้ใช้งานและองค์กรอื่นยังคงเปิดให้เข้าถึงได้อยู่
เพื่อป้องกันและลดความเสี่ยงจากการรั่วไหลของข้อมูล องค์กรและผู้ดูแลระบบควรตรวจสอบการใช้งานเครื่องมือสร้างแอปพลิเคชันด้วย AI ภายในองค์กร เช่น Grok, Lovable, Replit, v0, Bolt, Base44 และ Google AI Studio ซึ่งพนักงานสามารถใช้งานได้โดยไม่ต้องผ่านการตั้งค่าจากฝ่ายไอที หากองค์กรสามารถเข้าถึงข้อมูล Passive DNS ควรใช้ตรวจสอบโดเมนของบริการเหล่านี้เพื่อค้นหาแอปพลิเคชันที่อาจถูกสร้างขึ้น และตรวจสอบให้แน่ใจว่าแอปพลิเคชันที่มีข้อมูลภายในถูกตั้งค่าสิทธิ์การเข้าถึงเป็นเฉพาะผู้ได้รับเชิญหรือเฉพาะเจ้าของเท่านั้น ซึ่งจะแสดงผลเป็นรหัสข้อผิดพลาด 401 เมื่อบุคคลภายนอกพยายามเข้าถึง รวมถึงควรทดสอบการเข้าสู่ระบบด้วยบัญชีภายนอกเพื่อตรวจสอบความถูกต้องของการจำกัดสิทธิ์ ตรวจสอบโค้ดและสคริปต์ของแอปพลิเคชันเพื่อไม่ให้มีชื่อ อีเมล หรือรหัสผ่านฝังอยู่ และดำเนินการยกเลิกการเผยแพร่ (Unpublish) แอปพลิเคชันที่ไม่มีผู้ดูแลหรือไม่ได้ใช้งานทันที
แหล่งข่าว : https://thehackernews.com/2026/11/over-35000-grok-built-apps-exposed.html