Darkmoon attaque ce qu'une entité financière expose : API web et mobiles, endpoints DSP2, intégrations de paiement, identité et SSO, tenants cloud et pipelines CI/CD qui les livrent. Chaque finding est qualifié EXPLOITED, CONFIRMED ou UNCONFIRMED, preuves conservées, ce dont le programme général de tests du chapitre IV de DORA a besoin. Ce n'est pas un test fondé sur la menace (TLPT) : ce régime reste entre les mains de votre autorité et de testeurs externes.
Les États membres ont déclaré que 10 % des incidents NIS2 à impact significatif de 2025 touchaient la banque, et les DDoS hacktivistes ont dominé les incidents du secteur financier (83,5 %) sur la période 2024-25 de l'ENISA. Derrière le bruit du déni de service, le vrai risque : une API qui laisse un client lire le compte d'un autre, un webhook qui accepte une confirmation de paiement forgée, un jeton de pipeline qui ouvre le compte cloud de production.
Banque mobile, pilotage de carte, agrégation de comptes, virement instantané, entrée en relation avec capture de pièces : tout cela est une API publique dont la logique d'autorisation se joue par client, par compte et par consentement. L'autorisation défaillante au niveau objet est le finding qui transforme un bug en violation de données.
Rappels de PSP, services de tokenisation de cartes, exports de lots SEPA, portails d'acquéreurs, SaaS de scoring antifraude : chaque intégration est une frontière de confiance avec un secret, une signature et un délai. Un webhook accepté sans vérification de signature, c'est un paiement forgé.
IAM client, parcours d'authentification forte DSP2, SSO du back-office sur Entra ID, accès privilégiés des équipes d'exploitation : un défaut d'enrôlement MFA, un flux ROPC hérité ou une politique d'accès conditionnel mal réglée contourne tous les autres contrôles.
Infrastructure as code, Kubernetes, bases managées, core banking en SaaS, prestataires KYC : la surface bouge à chaque mise en production, et les articles 28 à 30 de DORA font du registre des prestataires TIC votre affaire. Le test doit suivre la cadence de déploiement, pas le calendrier d'audit.
Six familles de systèmes que Darkmoon énumère et attaque, avec les comptes de test et les bacs à sable que vous fournissez. Les rails de paiement en production et l'environnement des données de cartes sont cadrés explicitement lors de l'appel de cadrage.
Authentification et gestion de session, autorisation au niveau objet sur comptes, cartes et bénéficiaires, limitation de débit sur virements et endpoints OTP, exposition de schémas GraphQL et REST, secrets embarqués dans les applications mobiles.
Cycle de vie du consentement, enregistrement des prestataires tiers, portée et échange des jetons, rejeu d'identifiants de consentement entre clients, gestion d'erreurs qui révèle l'existence d'un compte.
Vérification de signature des rappels, idempotence des confirmations de paiement, exposition de fichiers SEPA ou de lots cartes sur les serveurs de transfert, portails acquéreurs et commerçants, parcours de remboursement et de contestation.
Enrôlement et réinitialisation MFA, configuration OIDC, failles d'accès conditionnel, flux d'authentification hérités, rôles privilégiés des équipes d'exploitation et de trésorerie, principaux de service à secrets permanents.
Politiques IAM et chaînes de rôles, stockage et snapshots publics, secrets dans l'état Terraform, clusters Kubernetes servant le trafic client, exposition des bases managées, angles morts de journalisation et d'alerte.
Jetons de pipeline à portée production, registres d'artefacts, runners Jenkins et GitLab, intégrations SaaS du back-office, prestataires KYC et antifraude : le versant chaîne d'approvisionnement que les dispositions de DORA sur les tiers inscrivent au registre.
Darkmoon enchaîne les findings en chemins et conserve la preuve de chaque étape. Quatre chemins que nos agents recherchent dans un parc financier, chacun qualifié EXPLOITED seulement lorsque l'exploitation est vérifiée par la machine sur vos comptes de test.
Un identifiant de consentement accepté avec le jeton d'un autre client, ou une référence de compte non liée à la session authentifiée : un client de test lit les soldes et opérations d'un autre client de test. EXPLOITED, avec la paire de requêtes conservée comme preuve.
Comment fonctionne le moteurTrois formes de mission, chacune conduite par un orchestrateur et des agents spécialisés derrière une passerelle MCP dotée d'une liste autorisée de 142 outils figée à la compilation. Périmètre, bacs à sable et exclusion des rails de paiement en production sont fixés dans le cadre signé électroniquement.
API de banque en ligne et mobile, endpoints DSP2, parcours d'entrée en relation et KYC, portails clients. Agents web et API avec vos clients de test et vos identifiants TPP de bac à sable ; matrices d'autorisation, gestion du consentement, limitation de débit, abus de logique métier sur virements et bénéficiaires.
Tenants AWS, Azure ou GCP, configuration Entra ID et OIDC, clusters Kubernetes, état Terraform, jetons de pipeline et registres d'artefacts. Le chemin d'un secret de développeur au compte de production, tracé sur le graphe d'infrastructure.
Depuis une position de compromission supposée : Active Directory, applications de trésorerie et d'exploitation, bases et brokers de messages derrière les API, consoles d'administration internes, assistants IA et serveurs MCP utilisés par le support (OWASP LLM Top 10).
Un processus conçu pour être simple côté client et rigoureux côté sécurité.
Un formulaire guidé : type de cible, périmètre et objectifs.
Comment fonctionne le moteurPas juste un scan automatisé, un audit structuré, validé et débriefé.
Vulnérabilités classées par sévérité, preuves techniques, impact business et guidance de remédiation priorisée.
Accès par email et code OTP. Documents contractuels, rapport et échanges centralisés, dispo quand vous voulez.
Un appel vidéo avec un expert pour passer en revue les findings, répondre aux questions et vous guider sur les correctifs.
La Privacy Gateway tokenise chaque valeur sensible (IP, noms d'hôtes, URL, e-mails, identifiants, chemins internes) sur votre machine avant qu'elle n'atteigne le modèle, puis la réhydrate localement. Auto-hébergez tout le moteur avec un LLM local, ou laissez nos experts conduire la mission managée : dans les deux cas, les preuves restent dans un espace que vous contrôlez.
Les entités financières ont leur propre régime de tests de résilience : le règlement DORA. Les environnements de données de cartes ajoutent l'exigence de tests d'intrusion du PCI DSS, tests internes et externes de l'environnement des données de titulaires de cartes et de son cloisonnement ; Darkmoon n'est pas un Approved Scanning Vendor et ne remplace pas les scans ASV trimestriels. Darkmoon ne certifie pas la conformité ; il produit des findings documentés et reproductibles que vous pouvez verser à votre dossier de preuves devant votre organe de direction, vos auditeurs ou votre superviseur.
L'article 4 de NIS2 s'efface devant les actes sectoriels de l'Union qui imposent des obligations au moins équivalentes, et l'article 2, paragraphe 10, exclut les entités exemptées de DORA. Le règlement (UE) 2022/2554 s'applique depuis le 17 janvier 2025 aux entités de son article 2, paragraphe 1 : établissements de crédit, de paiement et de monnaie électronique, entreprises d'investissement, prestataires de services sur crypto-actifs, assureurs et les autres types listés, quelle que soit leur taille, avec proportionnalité. L'article 24 impose un programme de tests de résilience avec des tests au moins annuels sur les systèmes de TIC qui soutiennent des fonctions critiques ou importantes, par des testeurs indépendants ; l'article 25 liste les types de tests requis et nomme le test d'intrusion parmi eux. Les findings qualifiés de Darkmoon, leurs preuves, les rapports JSON et PDF, la notation CVSS 3.1 et la correspondance ISO 27001 sont conçus pour alimenter ce programme.
Les entités qui stockent, traitent ou transmettent des données de cartes suivent le PCI DSS, un standard contractuel du PCI Security Standards Council et non une loi. Son exigence de tests d'intrusion demande des tests internes et externes de l'environnement des données de titulaires de cartes et du cloisonnement qui l'isole. Darkmoon peut tester les systèmes dans et autour de cet environnement avec le périmètre et les contrôles de segmentation convenus dans le cadre ; il n'est pas un Approved Scanning Vendor, et les scans externes ASV trimestriels restent une obligation distincte.
Les tests de pénétration fondés sur la menace sont exigés au moins tous les trois ans pour les entités que leur autorité désigne, sur les systèmes de production, avec un périmètre validé par l'autorité, des testeurs répondant aux exigences de l'article 27 et une attestation finale. Darkmoon n'est pas un TLPT DORA. Il soutient le programme général et produit des preuves que vous pouvez apporter au cadrage du TLPT ; le TLPT lui-même reste entre les mains de votre autorité et de testeurs externes.
L'annexe I de NIS2 nomme le secteur bancaire (« établissements de crédit au sens de l'article 4, point 1), du règlement (UE) n° 575/2013 ») et les infrastructures des marchés financiers (opérateurs de plates-formes de négociation, contreparties centrales). Une entité d'un type listé entre dans le champ dès lors qu'elle est au moins une entreprise de taille moyenne : 50 salariés ou plus, ou un chiffre d'affaires annuel ET un total de bilan supérieurs à 10 M€ ; les entités essentielles sont les grandes, 250 salariés ou plus, ou un chiffre d'affaires supérieur à 50 M€ et un bilan supérieur à 43 M€ ; s'y ajoutent les cas indépendants de la taille des articles 2, paragraphe 2, et 3. En pratique, DORA prime pour ces entités. Le projet de loi français qui transpose CER, NIS2 et la directive DORA n'est pas promulgué (séance à l'Assemblée nationale programmée le 7 octobre 2026).
Darkmoon ne certifie pas la conformité. Cette section est une information générale, pas un conseil juridique ; elle reflète les textes au 4 octobre 2026, et c'est à vos équipes juridiques et conformité, avec l'ACPR ou l'AMF, d'établir si votre entité relève de DORA, de NIS2 ou des deux.
Le RSSI d'un établissement de paiement doit montrer à son organe de direction que les systèmes qui soutiennent ses fonctions critiques ont été testés cette année par une partie indépendante. L'appel de cadrage pose le cadre : l'API client et les endpoints DSP2 en environnement de bac à sable avec des clients de test, le tenant Azure et les pipelines GitLab en lecture seule, le rail de paiement en production et l'environnement des données de cartes exclus, les heures ouvrées évitées. Les agents de Darkmoon attaquent les API, cartographient l'identité et le cloud, et enchaînent les findings en chemins.
Un rapport classé par sévérité avec la preuve de chaque étape, une note CVSS 3.1 et une correspondance ISO 27001 par finding, le graphe d'infrastructure du chemin d'un secret de pipeline au tenant de production, et un débrief avec le RSSI et le responsable de l'ingénierie. L'établissement le verse comme pièce de ses preuves de tests au titre de l'article 24 et garde la question du TLPT, si son autorité la pose, comme un exercice distinct.
Le prix est connu avant paiement. Pas de devis, pas de surprise. Prix indicatif, ajusté au périmètre final. Si le cadrage modifie le périmètre et le prix, vous en êtes informé avant que quoi que ce soit ne démarre.
Cadre légal & autorisations inclus
Non. Un test de pénétration fondé sur la menace au titre des articles 26 et 27 se déroule sur la production, sur un périmètre validé par votre autorité compétente, par des testeurs répondant aux exigences de l'article 27, et se conclut par une attestation. Darkmoon soutient le programme général des articles 24 et 25 et vous donne des findings qualifiés et des preuves ; il ne remplace pas le TLPT.
L'article 25 nomme le test d'intrusion parmi les tests que le programme de tests de résilience d'une entité financière doit comprendre, et l'article 24 impose des tests au moins annuels sur les systèmes de TIC qui soutiennent des fonctions critiques ou importantes, par des testeurs indépendants. Les microentreprises bénéficient de la proportionnalité. La composition de ce programme vous appartient ; Darkmoon en est un des intrants.
Le PCI DSS demande des tests d'intrusion internes et externes de l'environnement des données de titulaires de cartes et de ses contrôles de cloisonnement. Darkmoon peut tester les systèmes dans et autour de cet environnement, avec le périmètre et les contrôles de segmentation convenus dans le cadre. Il n'est pas un Approved Scanning Vendor : les scans externes ASV trimestriels restent une obligation distincte.
Si vous êtes une entité financière listée à l'article 2, paragraphe 1, de DORA, c'est DORA qui régit votre gestion du risque TIC et votre notification d'incidents ; l'article 4 de NIS2 s'efface devant lui comme lex specialis. Les établissements de crédit et les infrastructures de marché figurent encore à l'annexe I de NIS2, mais en pratique DORA prime. Vos juristes et votre superviseur tranchent ; pas Darkmoon.
Oui. L'édition Community est sous GPLv3 et l'auto-hébergement est le mode par défaut ; vous pouvez l'associer à un LLM local via Ollama ou llama.cpp. La Privacy Gateway tokenise IP, noms d'hôtes, URL, e-mails et identifiants sur votre machine avant que quoi que ce soit n'atteigne le modèle, puis les réhydrate localement. Pro ajoute l'environnement scellé durci, le stockage AES-256 et le déploiement cloud en une commande.
Des findings qualifiés EXPLOITED, CONFIRMED ou UNCONFIRMED par une grille adversariale, avec requêtes, charges et captures conservées ; des rapports JSON et Markdown, et en Pro des rapports PDF et web brandés avec notation CVSS 3.1, correspondance MITRE ATT&CK et ISO 27001. Darkmoon ne certifie pas la conformité ; le rapport est une preuve que vous présentez, pas une attestation.
Oui. Les intégrations GitHub Actions, GitLab CI/CD et Jenkins sont disponibles, avec en Pro le planificateur de campagnes récurrentes et l'agent de remédiation : il ouvre des pull requests de correctif validées en sandbox pour relecture humaine, jamais fusionnées automatiquement. C'est cette cadence qu'un test annuel ne peut pas vous donner entre deux versions.
Une autorisation écrite pour les cibles du périmètre (le cadre légal signé à la commande), les URL, noms d'hôtes ou plages réseau à tester, des comptes de test lorsque le test authentifié compte, et un contact pour l'appel de cadrage. Nos experts confirment le périmètre et les contraintes avec vous avant le démarrage.
Oui. Le rapport vous appartient. Il documente chaque constat avec sa preuve, sa sévérité et ses recommandations de correction : il peut être remis à un assureur cyber, au service achats d'un client ou à un auditeur comme description factuelle et datée de ce qui a été trouvé. C'est une preuve, pas une certification.
Vous recevez une liste de corrections priorisée avec la preuve de chaque constat, un débrief pour la parcourir, et la possibilité de retester une fois les corrections appliquées. Les équipes qui auto-hébergent peuvent planifier des campagnes récurrentes (Pro) pour rejouer les mêmes vérifications après chaque changement ; l'agent de remédiation Pro peut aussi ouvrir des pull requests de correctifs validés en sandbox, à relire par vos développeurs.
Trois cadres, trois rôles pour le test : ce que chacun demande et où un pentest s'inscrit.
La mission managée : formulaire guidé, cadre signé en ligne, forfait, rapport et débrief dans un espace sécurisé.
Comment le modèle raisonne sur des marqueurs pendant que noms d'hôtes, URL et identifiants restent chez vous.
Secteurs des annexes I et II, règle de taille, mesures de l'article 21, lex specialis avec DORA et état de la transposition française.
Comment Darkmoon est construit et exploité : passerelle, liste autorisée, stockage, ce que nous conservons et ce que nous ne conservons pas.
Vos prestataires TIC sont eux-mêmes un secteur de l'annexe I ; ce que cela change pour le registre.
Décrivez vos API, vos tenants et vos pipelines, signez le cadre en ligne et recevez un rapport que votre organe de direction peut lire. Le TLPT reste chez votre autorité ; le reste du programme peut démarrer cette semaine.