Offensive & product security
Dla producentów oprogramowania i urządzeń. Aplikacje web, API i mobile testowane osobiście przez eksperta z 15-letnim doświadczeniem – od ustalenia zakresu po retest.
Doświadczenie zdobyte w zespołach bezpieczeństwa: F-Secure · Egnyte · Lufthansa Systems · Autopay · Include Security · 7ASecurity
Usługi
Atak pokazuje, gdzie są luki. Obrona sprawia, że nie wracają. Pracuję po obu stronach i łączę je w jeden spójny proces.
Offensive security
We break. So they can’t.
Kontrolowane ataki na aplikacje i infrastrukturę – z raportem, który zrozumie zarówno zarząd, jak i zespół deweloperski.
Defensive security
We fortify. So they can’t get in.
Procesy i praktyki, dzięki którym produkt jest bezpieczny od projektu po kolejne wydania i spełnia wymagania regulacyjne.
Jak można zacząć
Stały zakres i stała cena, ustalone przed startem. Bez rozliczania godzin i bez niespodzianek na fakturze.
Dla producentów oprogramowania i urządzeń z elementami cyfrowymi.
RezultatRaport luk względem wymagań CRA i plan wdrożenia
Aplikacja webowa, API lub mobilna – w wariantach zależnych od wielkości.
RezultatRaport, omówienie z zespołem i retest
Dla firm doradczych i software house'ów, które potrzebują doświadczonego pentestera.
RezultatWsparcie zespołu bez zatrudniania etatu
Wycenę przygotowuję w ciągu jednego dnia roboczego od rozmowy o zakresie.
Co dostajesz
Nie wynik skanera, tylko zweryfikowane podatności z kontekstem biznesowym i konkretną instrukcją naprawy.
Raport z testu penetracyjnego
Poufne| Podatność | Ryzyko | CVSS | Status |
|---|---|---|---|
| Brak kontroli dostępu do obiektów w API (IDOR) | Krytyczne | 9.1 | Naprawione |
| Stored XSS w panelu administracyjnym | Wysokie | 8.0 | Naprawione |
| Brak limitu prób logowania | Średnie | 5.3 | W trakcie |
| Niekompletne nagłówki bezpieczeństwa HTTP | Niskie | 3.1 | Naprawione |
Publiczne audyty
Od 2021 roku współpracuję jako konsultant z 7ASecurity - firmą, która audytuje m.in. projekty open source i narzędzia chroniące prywatność, często na zlecenie organizacji takich jak OSTIF czy Open Technology Fund.
Część raportów z audytów, w których brałem udział, opublikowano za zgodą opiekunów projektów. Możesz w nich zobaczyć, jak dokumentuję podatności i rekomendacje.
Raporty na stronie 7ASecurityZakres typowego audytu
To ten sam zestaw działań, którego wymaga od producentów Cyber Resilience Act.
Proces
Przejrzyste zasady od pierwszej rozmowy. Żaden test nie startuje bez pisemnej zgody i jasno określonego zakresu.
Bezpłatna 30-minutowa konsultacja. Ustalamy cel, zakres i stałą cenę.
Umowa, NDA, pisemna autoryzacja testów, okno testowe i kontakt awaryjny.
Krytyczne problemy zgłaszam od razu, nie czekając na raport końcowy.
Prezentacja wyników dla zespołu i weryfikacja wprowadzonych poprawek.
Metodyka oparta na:
O mnie
Od 15 lat zajmuję się bezpieczeństwem: testami penetracyjnymi aplikacji webowych i mobilnych, przeglądami hostów i konfiguracji chmury, a od 2020 roku bezpieczeństwem produktów w całym cyklu wytwarzania oprogramowania.
Wcześniej przez 10 lat administrowałem systemami Linux i AIX, a przez 2 lata sieciami. Dlatego testuję realne środowisko, a nie tylko listę kontrolną skanera – i wiem, które rekomendacje da się wdrożyć w prawdziwej firmie.
W F-Secure kierowałem globalnym zespołem ASV, prowadziłem skany ASV i testy penetracyjne PCI DSS oraz wdrażałem nowych konsultantów. Później budowałem bezpieczeństwo aplikacji w zespołach produktowych Egnyte, Lufthansa Systems i Autopay. W latach 2021–2025 jako Senior Penetration Tester współpracowałem z Include Security, a od 2021 roku jako konsultant 7ASecurity biorę udział w audytach projektów open source. Po godzinach szukam podatności w programach bug bounty.
Działalność pod marką sysBreakers prowadzę od 2020 roku.
Regulacje
Testy i procesy bezpieczeństwa to dziś także obowiązek prawny – dla Ciebie i dla Twoich klientów.
Od 11 września 2026 r. producenci zgłaszają aktywnie wykorzystywane podatności. Pełne wymagania obowiązują od 11 grudnia 2027 r.
Podmioty kluczowe i ważne muszą zarządzać ryzykiem, regularnie testować zabezpieczenia i wymagać tego od dostawców.
Testy odporności cyfrowej w sektorze finansowym i bezpieczeństwo danych kart płatniczych.
FAQ
Ryzyko ograniczamy na etapie umowy: ustalone okno testowe, wykluczenie testów przeciążeniowych (DoS) i kontakt awaryjny po obu stronach. Tam, gdzie to możliwe, testuję na środowisku testowym odwzorowującym produkcję.
Zależy od zakresu – typowy test aplikacji to od kilku do kilkunastu dni roboczych. Termin raportu ustalamy w umowie, a podatności krytyczne zgłaszam natychmiast po ich potwierdzeniu.
Tak, jeszcze przed rozmową o szczegółach technicznych. Dane z testów przechowuję w postaci zaszyfrowanej i usuwam zgodnie z ustaleniami w umowie.
Umowa B2B i faktura. Cena jest stała za uzgodniony zakres – nie rozliczam godzin.
Tak. Pracuję zdalnie z klientami w całej UE, a raporty przygotowuję po polsku lub angielsku.
Kontakt
Opisz krótko, co chcesz przetestować lub przygotować. Odpowiem w ciągu jednego dnia roboczego.
Dziękuję za odpowiedzialne zgłoszenie. Zasady i kontakt znajdziesz w pliku security.txt.