Des octets sérialisés au shell : exploiter la désérialisation Java
Étude de cas issue d'un pentest autorisé : exécution de code à distance via une désérialisation Java non sécurisée dans Spring HttpInvoker.
Lire → Smarter
Plus qu'un simple scan automatisé
Nous automatisons les tâches répétitives, mais la validation et les décisions restent du ressort du testeur. Chaque constatation pertinente est vérifiée manuellement et remise en contexte. Un scanner signale un problème potentiel ; nous démontrons s'il est exploitable et quel en est l'impact.
Better
Des priorités fondées sur l'impact, pas sur le volume
Nous ne gonflons pas la sévérité et nous n'enfouissons pas les risques réels dans un rapport surdimensionné. Vous recevez des constatations argumentées, des priorités claires et des recommandations sur lesquelles votre équipe peut agir.
Certified
Une rigueur vérifiable, au niveau de l'entreprise et de l'équipe
ISO 27001:2023 et ISO 9001:2023 au niveau de l'entreprise ; OSCP, OSWP, CEH, LPT, CISA et GICSP au niveau de l'équipe. Nous livrons une documentation technique et exécutive adaptée à votre équipe interne, à la direction et aux auditeurs.
Test d'intrusion
Connaître ses vulnérabilités ne suffit pas. Il faut savoir ce qu'un attaquant peut en faire.
Un test d'intrusion bien mené corrèle les vulnérabilités, les configurations et les droits d'accès dans un scénario d'attaque réaliste. Le résultat montre quels actifs sont exposés, quels contrôles fonctionnent et où il faut intervenir en priorité.
- Vulnérabilités exploitables, validées manuellement
- Chaînes d'attaque et points de pivot
- Défauts d'architecture et de segmentation
- Capacité de détection et de réponse
- Exposition réelle des données et des systèmes
- Preuves pour l'audit et la conformité
- Priorités de remédiation claires
- Validation des investissements en sécurité
Capacités
La surface d'attaque ne s'arrête plus aux applications web et au réseau
Le cloud, les systèmes industriels, l'identité numérique, les modèles d'IA et les chaînes d'approvisionnement logicielles ont radicalement élargi la surface d'attaque. Nos capacités couvrent ces environnements sans sacrifier la rigueur des tests classiques.
01
ICS / SCADA / OT
Nous évaluons les systèmes de contrôle industriel dans l'énergie, l'eau, le chauffage urbain et la production. Les tests sont planifiés pour limiter le risque opérationnel et utilisent des protocoles et des scénarios propres aux environnements industriels.
02
Cloud, Kubernetes et IaC
Nous évaluons le cloud public, privé et gouvernemental, les configurations Kubernetes, les conteneurs, les politiques IAM, les secrets de pipeline et l'écart entre l'infrastructure déclarée dans le code et celle réellement en production.
03
Red Team et TIBER-EU
Nous construisons des scénarios offensifs à partir des menaces pertinentes et d'objectifs métier explicites. Les exercices peuvent être alignés sur le cadre TIBER-EU, ses implémentations nationales et les exigences de résilience opérationnelle de DORA.
04
Pentest assisté par IA
Nous réalisons des pentests avec notre propre plateforme d'IA — un LLM frontier ou auto-hébergé, plus une méthodologie propriétaire avec boucles d'itération, instructions de sécurité strictes et un mode pentester interactif. Les outils éliminent les temps morts ; le jugement et le contrôle restent au testeur.
05
Sécurité des systèmes fondés sur l'IA
Nous testons l'injection de prompt, l'exposition de données via le contexte, l'abus d'agents dotés d'outils, l'isolation insuffisante et l'escalade via les intégrations du modèle. L'évaluation suit les risques introduits lorsqu'un système d'IA reçoit l'accès à des données et des processus réels.
06
Matériel, systèmes embarqués et firmware
Nous analysons les dispositifs embarqués, les firmwares, les interfaces matérielles et les protocoles de communication, y compris dans des scénarios black-box et en conditions d'accès physique contrôlé.
07
eKYC et résilience aux deepfakes
Nous évaluons les parcours de vérification d'identité face aux présentations synthétiques : images et vidéos générées, documents falsifiés, voix clonée, rejeu et contournement des mécanismes de détection du vivant. Les tests sont pertinents pour l'onboarding bancaire, les fintechs et les établissements de paiement.
08
Purple teaming et validation de la détection
Nous exécutons des techniques d'attaque aux côtés de l'équipe de défense et mesurons ce que détectent le SOC, l'EDR et les règles de corrélation, ce qui passe inaperçu et combien de temps dure la réaction. Le résultat est un plan concret d'amélioration de la détection.
Pourquoi SafeByte
Expertise technique, discipline de projet et compréhension du contexte métier
-
Expérience en environnements critiques
L'expertise de notre équipe s'est construite sur des projets complexes — des applications financières et des infrastructures d'entreprise jusqu'aux systèmes ICS/SCADA et aux systèmes à fortes exigences de continuité. Nous comprenons à la fois la technologie et les contraintes opérationnelles qui l'entourent.
-
Une pratique technique continuellement actualisée
Nous maintenons nos méthodes et nos laboratoires à jour par la recherche, les tests et la formation continue. Nous n'appliquons pas mécaniquement la même liste de contrôle : nous adaptons les techniques à l'architecture, à la technologie et au profil de risque de chaque projet.
-
Des recommandations applicables
Une vulnérabilité n'existe pas dans le vide. Nous l'évaluons au regard des processus, des données, des dépendances et des obligations de l'organisation, puis formulons des mesures proportionnées, claires et applicables par les équipes qui doivent les mettre en œuvre.
ISO/IEC 27001:2023Sécurité de l'information
ISO 9001:2023Management de la qualité
Services
Des services construits autour du risque réel
Des évaluations ponctuelles aux programmes pluriannuels, nous définissons le périmètre, la profondeur et le reporting en fonction des systèmes critiques, des menaces pertinentes et des exigences de conformité.
Tests web et API
Applications web, API REST et GraphQL, architectures API-first et intégrations B2B. Tests manuels axés sur la logique applicative, l'autorisation et l'impact sur les données.
Détails →Tests d'infrastructure
Périmètre externe, réseau interne, Active Directory, segments sensibles et réseaux sans fil. Nous identifions les voies d'accès, l'escalade et les mouvements latéraux.
Détails →Tests d'applications mobiles
Applications iOS et Android, y compris le mobile banking, les mécanismes d'authentification et les protections RASP. Nous analysons l'application, les communications et les API associées ; le re-test est inclus.
Détails →Audit de conformité
Évaluations au regard des exigences des autorités nationales et des superviseurs financiers, ainsi que de cadres et de normes tels que NIST CSF, ISO 27001, PCI DSS, NIS2 et DORA.
Détails →Sécurité industrielle (ICS/SCADA)
Évaluations de sécurité pour les systèmes, réseaux et protocoles industriels, planifiées autour des exigences de sûreté, de disponibilité et de continuité du processus.
Détails →CISO-as-a-Service et GRC
Gouvernance, analyse de risque, politiques, programmes de conformité et coordination des mesures de sécurité pour les organisations qui n'ont pas besoin — ou ne disposent pas encore — d'un CISO interne à temps plein.
Détails → Secteurs
Nous intervenons là où l'indisponibilité a des conséquences réelles
Chaque secteur a ses technologies, ses menaces, ses obligations et ses tolérances au risque. La méthodologie reste rigoureuse, mais les scénarios et les critères d'évaluation sont adaptés au contexte opérationnel.
Banque et finance
Banques commerciales, établissements de crédit, fintechs, établissements de paiement et processeurs, dans des contextes fortement réglementés et à fortes exigences de résilience.
Énergie
Production, transport et distribution d'énergie, hydroélectricité, chauffage urbain et fourniture, avec des infrastructures IT et OT interdépendantes.
Services d'utilité publique
Opérateurs d'eau et d'assainissement, où l'infrastructure IT, les systèmes de communication et l'environnement SCADA doivent être évalués ensemble.
Nucléaire et industrie
Organisations du nucléaire, du pétrole et du gaz et de la production à procédé continu, où la sûreté et la disponibilité priment.
Santé et pharma
Fabricants pharmaceutiques, instituts et organisations médicales gérant des données sensibles, des systèmes de laboratoire et des équipements connectés.
Secteur public
Autorités centrales et locales, agences de numérisation et projets financés sur fonds publics, avec de fortes exigences de transparence, de continuité et de conformité.
Expérience pertinente
Des projets que nous pouvons décrire sans rompre la confidentialité
La plupart des projets sont protégés par des accords de confidentialité. Les exemples ci-dessous sont anonymisés mais conservent le type d'organisation, l'ampleur et la nature des travaux réalisés.
Programme pluriannuel
Programme pluriannuel de tests d'intrusion et d'audits de sécurité pour l'une des plus grandes institutions bancaires de Roumanie.
Banque centrale
Tests externes, internes, interbancaires et sans fil, complétés par des évaluations de vulnérabilités, pour la banque centrale d'un État.
Mobile banking
Audit PCI DSS v4.0.1 pour une application de paiement, avec une documentation acceptée par le régulateur bancaire.
Programme international
Audits de sécurité et tests d'intrusion pour sept entreprises de l'énergie et des infrastructures critiques, dans le cadre d'un programme coordonné par une organisation internationale de développement.
Cloud gouvernemental
Évaluation de sécurité pour la migration d'applications vers un cloud privé gouvernemental, réalisée dans le cadre d'un accord-cadre financé par le PNRR.
Nucléaire et oil & gas
Tests d'intrusion pour des organisations du secteur nucléaire et de l'industrie pétrolière et gazière.
Early Access · Vigilum by SafeByte
Exposez l'attaquant avant que l'attaquant ne vous expose.
Vigilum déploie dans votre infrastructure des artefacts-leurres crédibles — identifiants, sessions, fichiers, services et clés cloud — qu'aucun utilisateur ni processus légitime n'a de raison de toucher.
Lorsqu'un de ces artefacts est touché, vous recevez un signal précoce et riche en contexte : la source de l'activité, les points de pivot et le chemin parcouru dans l'infrastructure.
- Des signaux à haute fiabilité, sans dépendre d'un réglage continu
- Une visibilité sur le mouvement latéral et le chemin de l'attaque
- Déploiement on-premises ou en environnement totalement déconnecté
- Complète votre EDR et votre SIEM, sans les remplacer
Blog
Analyses et observations de terrain
Articles techniques, enseignements de projets et explications sur des risques qui méritent d'être compris. Sans bruit marketing.
Cryptographie post-quantique : implications pour les banques et les infrastructures critiques
Les standards NIST PQC, la menace Harvest Now Decrypt Later et un cadre de migration pour les secteurs financier et énergétique.
Lire →
Étude — L'intelligence artificielle dans la cybersécurité
Étude stratégique : des résultats du DARPA AIxCC aux risques pour la Roumanie et des recommandations à court, moyen et long terme.
Lire → Contact
Dites-nous ce qui doit être évalué
Décrivez brièvement le système, l'objectif et le délai estimé. Nous revenons vers vous sous un jour ouvré. Pour des informations sensibles, vous pouvez utiliser notre clé PGP.
- office@safebyte.io
- Signalement de vulnérabilités
- security.txt · clé PGP disponible
- Téléphone
- +40 723 010 220
- Bureau
- SafeByte Consulting S.R.L.
Str. Ionescu Gheorghe nr. 1, Bl. 148, Sector 4, Bucarest