Testy penetracyjne · Warszawa
Testujemy systemy warszawskich banków, fintechów i ubezpieczycieli, ich dostawców ICT oraz urzędów: aplikacje webowe i mobilne, API, chmurę i sieć wewnętrzną. Wyniki testów z art. 24-25 DORA możesz włączyć do programu testowania odporności cyfrowej, a sieć wewnętrzną zbadamy na miejscu w Warszawie albo zdalnie.
01Warszawa
Banki i ubezpieczyciele. KNF nadzoruje 30 banków komercyjnych i 51 krajowych zakładów ubezpieczeń i reasekuracji (koniec 2025 r., cała Polska). Od 17 stycznia 2025 r. podmioty finansowe stosują DORA, a w niej: podmioty finansowe inne niż mikroprzedsiębiorstwa ustanawiają oparty na ryzyku program testowania operacyjnej odporności cyfrowej (art. 24 ust. 1-3).
Fintech i płatności. KNF nadzoruje też 47 krajowych i 168 małych instytucji płatniczych oraz 97 instytucji pożyczkowych. Ich aplikacje i API obsługują pieniądze klientów bezpośrednio. CSIRT KNF wydał w 2025 r. 625 ostrzeżeń i 19 rekomendacji dla sektora (sprawozdanie KNF za 2025 r.).
Dostawcy ICT sektora finansowego. Software house'y, operatorzy chmury i centra przetwarzania danych mogą usłyszeć od banku pytanie o aktualny raport z testu. Umowa o usługi wspierające krytyczne lub istotne funkcje obejmuje ponadto m.in. udział dostawcy w TLPT podmiotu finansowego (art. 30 ust. 3 DORA).
Administracja centralna. Ministerstwa i urzędy centralne udostępniają e-usługi obywatelom i przedsiębiorcom. Test przed uruchomieniem pokazuje, co zobaczy atakujący z internetu, a co zalogowany użytkownik o niewłaściwych uprawnieniach. Obowiązki z ustawy o KSC omawiamy na stronie audytu NIS2 i KSC w Warszawie.
02DORA
Program testowania należy do podmiotu finansowego. My dostarczamy testy, które do niego wchodzą, i dowody, które da się pokazać nadzorowi.
| Wymaganie | Przepis | Co możemy wykonać |
|---|---|---|
| Testy przeprowadzają niezależne strony wewnętrzne lub zewnętrzne. | art. 24 ust. 4 | Testy jako strona zewnętrzna wobec Twojej organizacji |
| Testy z art. 25, m.in.: oceny podatności i skanowanie pod tym kątem, oceny bezpieczeństwa sieci, przeglądy kodu źródłowego, gdy jest to wykonalne, testy penetracyjne | art. 25 ust. 1 | Pentesty aplikacji, API, infrastruktury i chmury oraz audyt kodu (white box) |
| Co najmniej raz w roku testuje się wszystkie systemy i aplikacje ICT wspierające krytyczne lub istotne funkcje. | art. 24 ust. 6 | Testy cykliczne według harmonogramu w umowie ramowej |
| Wykryte problemy są klasyfikowane i usuwane według ustalonych procedur. | art. 24 ust. 5 | Ocena CVSS, zalecany termin naprawy i retest każdej poprawki |
TLPT to osobny rodzaj testu. KNF w drodze decyzji wskazuje podmioty obowiązane do TLPT, zatwierdza testerów wewnętrznych i wydaje poświadczenie testu (art. 18zk ustawy o nadzorze nad rynkiem finansowym). W sprawozdaniu za 2025 r. KNF wymienia działania służące określeniu podmiotów finansowych, od których wymaga się przeprowadzania TLPT. Nie występujemy jako tester TLPT, ale oceniamy gotowość do niego i pomagamy wybrać testerów - zobacz testy TLPT w DORA i DORA: testy odporności i ryzyko ICT.
03Zakres
| System | Co sprawdzamy | Podejście |
|---|---|---|
| Bankowość internetowa i portal klienta | Logowanie i drugi składnik, sesje, autoryzacja zleceń, dostęp do cudzych rachunków | Grey box z kontami różnych ról |
| Aplikacja mobilna instytucji płatniczej | Dane na urządzeniu, komunikacja z API, logika płatności | Grey box według OWASP MASVS 2.1 |
| API dla partnerów i pośredników | Autoryzacja obiektów, tokeny OAuth 2.0 i JWT, limity zapytań | OWASP API Security Top 10 2023 |
| E-usługa urzędu i panel urzędnika | Uprawnienia, obsługa załączników, dane wnioskodawców | Black box i grey box przed startem |
| Sieć centrali i oddziałów | Active Directory, segmentacja, zdalny dostęp | Test wewnętrzny na miejscu albo przez VPN |
| Moduł rozliczeń lub płatności | Logika autoryzacji, sekrety, kryptografia, zależności | White box - audyt kodu |
Szczegółowe zakresy: aplikacje webowe, aplikacje mobilne, API, infrastruktura i sieć oraz audyt kodu źródłowego. W systemach z wieloma rolami najlepszy stosunek wyniku do kosztu daje podejście grey box. Testy prowadzimy nieinwazyjnie - bez ataków DoS i bez zmian w danych - a sieci Wi-Fi i socjotechnika są poza naszą ofertą.
04Przykładowe sytuacje
Sytuacje przykładowe - nie opisujemy testów u klientów, a ich wyników nie publikujemy.
Dostawca ICT
Software house kończy moduł dla banku, a umowa wymaga raportu z niezależnego testu przed wdrożeniem. Test aplikacji i API z kontami wszystkich ról, raport po polsku i angielsku oraz retest mieszczą się w harmonogramie odbioru.
Instytucja pożyczkowa
Atakujący z wykradzionym hasłem próbuje podmienić rachunek klienta. Test sprawdza drugi składnik, odzyskiwanie dostępu, sesje i to, czy zmiana kluczowych danych wymaga ponownej autoryzacji.
Ubezpieczyciel
Dział ryzyka ICT planuje testy systemów wspierających krytyczne lub istotne funkcje. Umowa ramowa obejmuje portal klienta, API dla agentów i sieć wewnętrzną, a każdy test kończy się raportem i retestem.
Urząd centralny
Instytucja uruchamia e-usługę z przesyłaniem dokumentów. Test black box i grey box obejmuje formularz, obsługę załączników i panel urzędników, a zalecenia mają terminy zależne od poziomu ryzyka.
05Organizacja testu
Aplikacje, API i chmurę testujemy zdalnie, w oknach czasowych uzgodnionych z Twoim zespołem. Do Warszawy przyjeżdżamy na test sieci wewnętrznej, gdy nie ma bezpiecznego dostępu zdalnego, i na omówienie wyników z zarządem - najszybszym bezpośrednim pociągiem EIP lub EIC z Wrocławia to ok. 3 h 35 min (rozkład 2025/2026). Prace zaczynamy po podpisaniu NDA i pisemnej zgodzie właściciela systemu na test.
Metodykę i pakiety opisuje strona testów penetracyjnych, a czynniki wyceny - cennik testów penetracyjnych. Jeśli system dopiero powstaje, porozmawiaj z naszym software house'em dla firm z Warszawy: budowane przez nas systemy testujemy przed każdym większym wydaniem.
Pentesty na miejscu u klienta robimy również w innych miastach: Kraków.
Nie występujemy jako tester TLPT. TLPT przeprowadzają nierzadziej niż co trzy lata podmioty finansowe wskazane w Polsce przez KNF, z testerami spełniającymi wymagania art. 27 DORA. My wykonujemy testy z art. 24-25 - pentesty aplikacji, API i infrastruktury oraz przeglądy kodu - a przed TLPT oceniamy gotowość i pomagamy porównać oferty testerów. Więcej: testy TLPT w DORA.
Decyduje program testowania banku, dlatego zakres najlepiej uzgodnić z jego działem bezpieczeństwa przed startem. Raport zawiera podsumowanie dla zarządu, każdą podatność z dowodem technicznym, oceną CVSS i rekomendacją naprawy oraz harmonogram remediacji, a po naprawach - wynik retestu; przygotowujemy go po polsku i po angielsku. Jeśli umowa z bankiem przewiduje Twój udział w TLPT klienta (art. 30 ust. 3 DORA), pomożemy się do niego przygotować.
Nie, socjotechnika i kampanie phishingowe są poza naszą ofertą. Sprawdzamy za to, co atakujący zrobi z wykradzionym hasłem: czy aplikacja wymaga drugiego składnika, jak chroni sesję, odzyskiwanie dostępu i autoryzację transakcji. Skalę zjawiska pokazują dane KNF: w 2025 r. CSIRT KNF przekazał do CSIRT NASK zgłoszenia 41 751 stron phishingowych.
Tak. Do Warszawy mamy ok. 355 km, głównie drogą ekspresową S8, a najszybsze bezpośrednie pociągi EIP i EIC jadą z Wrocławia ok. 3 h 35 min (rozkład 2025/2026). Komputer testowy podłączamy w uzgodnionym punkcie sieci centrali, a oddziały w innych miastach możemy objąć testem przez VPN albo z komputera przygotowanego na miejscu przez Twój dział IT.
Co najmniej raz w roku testuje się wszystkie systemy i aplikacje ICT wspierające krytyczne lub istotne funkcje (art. 24 ust. 6 DORA). Taki cykl zapisujemy w umowie ramowej: harmonogram dopasowany do wydań, zakres potwierdzany przed każdym testem, po nim raport i retest. Tryby testów opisujemy na stronie modeli współpracy.
DORA · Testy TLPT
Testy TLPT w DORA: definicja, podstawa prawna i RTS 2025/1190, kogo dotyczą, jak często, przebieg testu red team i wymagania wobec testerów z art. 27.
Testy penetracyjne · API
Testy bezpieczeństwa API według OWASP API Security Top 10 2023 - autoryzacja obiektów, OAuth 2.0, JWT, GraphQL i webhooki. Raport z dowodami i retestem.
Testy penetracyjne · Aplikacje mobilne
Testy penetracyjne aplikacji mobilnych iOS i Android według OWASP MASVS i MASTG - dane na urządzeniu, komunikacja, uwierzytelnianie i backend API.
Opisz krótko, czego potrzebujesz - wrócimy z propozycją kolejnych kroków.
lub zadzwoń pod numer +48 575 621 877