Falha em ferramenta de programação expõe dados de milhares de usuários
13 de novembro de 2026 · 2 min de leitura
A empresa de segurança Claroc identificou uma vulnerabilidade na ferramenta de programação com inteligência artificial Grok Build, pertencente à SpaceXSI. O defeito técnico permitiu o acesso não autorizado a dados sensíveis de milhares de usuários, incluindo informações internas da própria SpaceXSI. A exposição ocorreu porque os links de compartilhamento gerados pela ferramenta podiam ser encontrados publicamente por serviços de resolução de nomes de domínio. A falha afetou uma rede hospitalar, um departamento de bombeiros e funcionários da SpaceXSI. A empresa de segurança descreveu as páginas expostas como GhostShares, termo que indica que terceiros podiam localizar e acessar os conteúdos mesmo sem receber o link original. Os pesquisadores expressaram surpresa ao constatar que a desenvolvedora permitia que qualquer pessoa com o link visualizasse os materiais internos da companhia.
Entre os documentos da SpaceXSI que vazaram, estavam planos de integração de novos funcionários, mapas de distribuição de vendas para 594 clientes prioritários, oito propostas de publicidade para a plataforma X, quatro painéis de gestão de contas de clientes publicitários ainda em uso e dois manuais de segurança da marca X. Apenas um dos aplicativos expostos possuía senha de proteção. Além da SpaceXSI, seis empresas da lista das 500 maiores do mundo e 26 organizações com mais de mil funcionários foram impactadas pelo incidente. A Claroc estimou que aproximadamente 2% dos aplicativos continham informações classificadas como de alto risco ou críticas. A causa raiz da falha reside na forma como a Grok Build gera os identificadores de compartilhamento. A ferramenta utiliza quatro palavras aleatórias para criar esses identificadores, com um nível máximo de aleatoriedade de 38 bits.
Diferentemente do Gemini, da Google, a Grok posiciona esses identificadores antes do domínio, em vez de incluí-los no caminho da URL após o domínio. Essa escolha técnica permitiu que serviços passivos de DNS coletassem os links e os registrassem em bancos de dados publicamente pesquisáveis. A Claroc notificou a SpaceXSI e as empresas afetadas sobre a descoberta. Algumas organizações tomaram medidas rápidas para impedir o contínuo vazamento de informações. A SpaceXSI, no entanto, só reagiu após a Claroc mencionar o nome de Musk e de outro executivo da empresa na plataforma X. Em seguida, a SpaceXSI removeu 24 aplicativos próprios que expunham materiais internos. A empresa não adotou as mesmas medidas para os aplicativos de outros usuários e instituições que permaneciam acessíveis publicamente.