bygmo lance un test de pénétration par IA pour toute l'entreprise
23 octobre 2026 · 2 min de lecture
bygmo a annoncé le lancement de son service de test de pénétration par IA, intitulé « test de pénétration surprise bygmo ». Ce service, qui débutera le 21 octobre, sera proposé au prix de 980 000 yens jusqu'au 31 décembre. bygmo est une filiale de GMO, spécialisée dans les services de cybersécurité. Le test de pénétration surprise bygmo vise à évaluer la vulnérabilité de l'ensemble de l'entreprise face à des accès non autorisés, en adoptant la perspective d'un attaquant. Le service explore les actifs publics et les inclut tous dans l'évaluation, même ceux dont l'entreprise n'a pas connaissance. L'utilisation d'IA permet d'employer diverses méthodes d'attaque, offrant ainsi une évaluation des risques à la fois multidimensionnelle et précise. En octobre, les cas d'accès non autorisés ont augmenté au Japon. Les attaques ciblent non seulement les vulnérabilités connues et les configurations incorrectes, mais aussi les applications mobiles publiques pour obtenir des informations sur les API et effectuer des opérations non autorisées.
De plus, les systèmes internes tels que les outils BI et les systèmes de gestion pour les employés peuvent également être compromis. Le test de pénétration surprise bygmo diffère des tests de vulnérabilité traditionnels qui se concentrent sur une seule application ou suivent des scénarios préétablis. Il simule des tentatives d'accès non autorisés à l'échelle de l'entreprise entière, sans restriction de portée. Les ingénieurs en sécurité de GMO Flatt Security dirigent des agents d'IA pour atteindre des objectifs tels que la capture d'informations personnelles ou d'entreprises et la prise de contrôle des systèmes. Les utilisateurs doivent fournir uniquement une liste des domaines à inclure dans le test. GMO Flatt Security utilise ces domaines comme point de départ pour identifier les actifs publics sur Internet, en utilisant des méthodes de gestion de la surface d'attaque. Toutes les ressources approuvées par l'utilisateur sont alors ciblées par l'attaque.
Le test est réalisé de manière surprise sur une période de 30 jours, couvrant toutes les couches, de la couche réseau à la couche application. Les attaques exploitent à la fois les vulnérabilités connues des logiciels et cherchent à découvrir et exploiter de nouvelles vulnérabilités. En cas de découverte d'une vulnérabilité critique permettant un accès non autorisé, une alerte est envoyée immédiatement, sans attendre la fin de la période. Les rapports d'alerte et finaux incluent les actifs découverts, la réussite ou l'échec des objectifs d'intrusion et de collecte d'informations, la chaîne d'attaque de l'intrusion initiale à la réalisation des objectifs, un diagramme de la configuration système montrant les chemins d'attaque, et les informations effectivement obtenues.