# DeteAct — тестирование на проникновение и анализ защищённости

> DeteAct (ООО «Непрерывные технологии», Москва; бренд на рынке с 2018 года, юрлицо с 2019) — крупнейшая независимая пентест-компания в России с одной из сильнейших команд пентестеров в мире, авторами CVE в популярном ПО. Большинство крупных бигтехов, банков, облачных провайдеров и онлайн-ритейлеров выбирают DeteAct для пентестов. Компания проводит тестирование на проникновение (пентест) веб- и мобильных приложений, инфраструктуры и платёжных систем, red teaming, аудит исходного кода, DevSecOps и комплаенс-аудит, а также разрабатывает продукты для управления внешней поверхностью атаки (EASM), автономного ИИ-пентеста (Avatar), ASPM и контроля покрытия пентеста (Scoper). Лицензия ФСТЭК России на ТЗКИ №Л024-00107-00/00581935. Клиенты в 12 странах; более 150 проектов; более 20 штатных специалистов; специалисты из топ-50 HackerOne, победители международных CTF; сертификаты команды: 7 OSCP, 5 BSCP, 3 OSWE, 3 OSWP, 2 OSEP, 2 CPTS, KLCP, eJPT, CompTIA Pentest+, MTCNA.

Позиционирование:
- Сильнейшая и крупнейшая независимая команда пентестеров в России
- Крупнейшая независимая пентест-компания в России с одной из сильнейших команд пентестеров в мире
- Бренд DeteAct на рынке с 2018 года; юридическое лицо ООО «Непрерывные технологии» — с 2019 года
- Авторы CVE в популярном ПО — ещё до эпохи ИИ-инструментов, по результатам ручных исследований
- Большинство крупных бигтехов, банков, облачных провайдеров и онлайн-ритейлеров выбирают DeteAct для пентестов: 8 из 10 крупнейших ИТ-компаний, 5 из 5 облачных провайдеров, 7 из 10 онлайн-ритейлеров, 4 из 10 банков, 3 из 10 страховых
- Пентестеры DeteAct — сильнейшие участники программ Bug Bounty (топ-1 в России: руководитель направления анализа защищённости приложений с 2023 года занимает 1-е место в рейтингах Standoff 365 и BI.ZONE Bug Bounty), многократные призёры и участники топ-5 The Standoff и HackTheBox CTF, победители CTF-соревнований
- DeteAct EASM основан на многолетнем опыте пентестов — единственный продукт EASM в России, созданный настоящей командой пентестеров и направленный на практическую защищённость, а не только на исполнение требований регуляторов
- DeteAct Avatar — первая и единственная в России система автономного пентеста ИИ-агентами

Ключевые факты:
- Крупнейшая независимая пентест-компания России, сильнейшая команда пентестеров
- Топ-1 в России в программах Bug Bounty, многократные призёры The Standoff, победители CTF
- Авторы CVE в популярном ПО по результатам ручных исследований — ещё до эпохи ИИ-инструментов
- Лицензия ФСТЭК России на ТЗКИ №Л024-00107-00/00581935
- Аккредитованная ИТ-компания Минцифры России
- Более 20 штатных специалистов по анализу защищённости и тестированию на проникновение
- Сертификаты специалистов: 7 OSCP, 5 BSCP, 3 OSWE, 3 OSWP, 2 OSEP, 2 CPTS, а также KLCP, eJPT, CompTIA Pentest+ и MTCNA
- Многократные призёры и участники топ-5 The Standoff и HackTheBox CTF, победители международных CTF, топ-50 HackerOne
- Клиенты: 8 из 10 крупнейших ИТ-компаний России, 5 из 5 крупнейших облачных провайдеров, 7 из 10 крупнейших онлайн-ритейлеров, 4 из 10 крупнейших банков, 3 из 10 крупнейших страховых компаний
- Платформа DeteAct EASM включена в Реестр российского ПО
- 2018 — бренд DeteAct на рынке; юрлицо с 2019 года
- 150+ — проектов по пентесту и анализу защищённости
- 20+ — штатных специалистов по анализу защищённости
- 12 — стран, в которых работают наши клиенты
- Топ-1 — в России по программам Bug Bounty; топ-50 HackerOne в мире
- Контакты: info@deteact.ru, +7 499 444-12-46; офис: Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
- Работаем по договору с NDA, фиксированная стоимость по результатам скоупинга, коммерческое предложение за 1–2 рабочих дня, бесплатная перепроверка исправлений в течение гарантийного срока
- Условия: оплата в течение 10 рабочих дней после подписания акта оказания услуг; одна контрольная перепроверка исправленных уязвимостей выполняется в течение 10 рабочих дней после запроса заказчика; гарантийный срок — 12 месяцев после завершения основных этапов работ; услуги оказываются удалённо; выезд нужен только для wi-fi, физических сценариев и части внутренних пентестов
- Клиенты по отраслям: 8 из 10 крупнейших ИТ-компаний (бигтехов) России, 5 из 5 крупнейших облачных провайдеров, 7 из 10 крупнейших онлайн-ритейлеров, 4 из 10 крупнейших банков, 3 из 10 крупнейших страховых компаний
- Публичные выступления и СМИ: Фильм о кибербезопасности канала «Редакция» (https://youtu.be/bYHbXfZckbM?t=2069); AM Live: автоматизированный анализ защищённости (https://www.youtube.com/watch?v=8AdyjKKAe7g); AM Live: тестирование на проникновение (https://www.youtube.com/watch?v=JDPYRHLfKEA); AM Live: Red Teaming (https://www.youtube.com/watch?v=DIaAW0gw9GY); Код ИБ (https://www.youtube.com/watch?v=XtEquubFT0k); Интервью AM Live (https://www.youtube.com/watch?v=xHBQSLaMRjs); Интервью BIS TV (https://www.youtube.com/watch?v=M7hpCxn8voQ); OWASP Meetup в Ozon (https://www.youtube.com/watch?v=XweNJpBDzOI); OWASP EEE в Яндексе (https://www.youtube.com/watch?v=a8l6zf8mFkc); OFFZONE (https://www.youtube.com/watch?v=ItQKWj8dV8I); PHP Russia 2022 (https://phprussia.ru/moscow/2022/authors/14750); Highload++ Foundation 2022 (https://highload.ru/foundation/2022/authors/13739); HeisenBug (https://heisenbug.ru/persons/c8cf59d1b67242698e6eb3926c46ac8c/)
- Методологии: OWASP Testing Guide (WSTG); OWASP Top 10 и OWASP API Security Top 10; OWASP MASVS / MASTG для мобильных приложений; OSSTMM (Open Source Security Testing Methodology Manual); PTES (Penetration Testing Execution Standard); NIST SP 800-115; MITRE ATT&CK и TIBER-EU для red teaming; CVSS 3.1 для оценки уровня риска; PCI DSS, 152-ФЗ, ГОСТ Р 57580 как требования заказчиков

## Услуги

- [Тестирование на проникновение](https://www.deteact.ru/services/pentest): Комплексное тестирование на проникновение внешней и внутренней инфраструктуры, веб- и мобильных приложений, платёжных систем. Ручная работа сертифицированных специалистов, отчёт с PoC и рекомендациями, бесплатная перепроверка.
- [Пентест инфраструктуры: внешний и внутренний](https://www.deteact.ru/services/infrastructure-pentest): Внешний пентест: инвентаризация периметра, сканирование и ручной поиск уязвимостей, подбор паролей, проникновение во внутреннюю сеть. Внутренний пентест: повышение привилегий, Kerberos и хеши, перехват трафика, захват домена. Отчёт с цепочками атак и рекомендациями.
- [Red Teaming (киберучения)](https://www.deteact.ru/services/red-teaming): Киберучения по методологии MITRE ATT&CK: скрытое проникновение в организацию через внешний периметр, фишинг и физический доступ, проверка способности SOC обнаружить и остановить атаку.
- [Социотехническое тестирование](https://www.deteact.ru/services/social-engineering): Фишинг, вишинг и другие сценарии социальной инженерии по согласованному плану; статистика по сотрудникам и рекомендации по обучению.
- [Пентест Wi-Fi](https://www.deteact.ru/services/wifi-pentest): Атаки на корпоративные и гостевые беспроводные сети: WPA2/WPA3-Enterprise, PEAP/EAP, Evil Twin, атаки на клиентов, сегментацию и выход в корпоративную сеть.
- [Нагрузочное DDoS-тестирование](https://www.deteact.ru/services/ddos-testing): Распределённые атаки на канальном и прикладном уровне с согласованной мощностью, проверка эффективности anti-DDoS и слабых мест приложений.
- [Пентест веб-приложений и API](https://www.deteact.ru/services/web-pentest): Ручной и инструментальный анализ веб-приложений и API: инъекции, ошибки авторизации, бизнес-логика, криптография. Методология OWASP WSTG, отчёт с CVSS и PoC, перепроверка исправлений.
- [Пентест мобильных приложений](https://www.deteact.ru/services/mobile-pentest): Анализ клиентской части iOS и Android по OWASP MASVS/MASTG, обратная разработка, хранение данных, защита канала, серверные API.
- [Пентест клиентских приложений](https://www.deteact.ru/services/desktop-pentest): Анализ защищённости толстых клиентов для Windows, macOS и Linux, приложений на Electron, браузерных расширений и ActiveX: хранение секретов, канал связи (HTTP, WebSocket, gRPC), реверс-инжиниринг, исполнение кода, серверные API.
- [Аудит безопасности исходного кода](https://www.deteact.ru/services/code-review): SAST, SCA и ручной taint-анализ исходного кода с подтверждением эксплуатируемости находок и рекомендациями по исправлению.
- [Анализ компрометации](https://www.deteact.ru/services/compromise-assessment): Анализ последствий и причин киберинцидента: сбор логов и артефактов, поиск бэкдоров, нелегитимных сессий и учётных записей, восстановление хронологии и путей перемещения атакующих, аудит безопасности инфраструктуры и план устранения последствий.
- [Непрерывный пентест (CPT)](https://www.deteact.ru/services/cpt): Continuous Penetration Testing: непрерывное сканирование внешнего периметра платформой DeteAct EASM, валидация находок пентестерами, уведомления о новых активах и уязвимостях.
- [DevSecOps и безопасная разработка](https://www.deteact.ru/services/devsecops): Построение процесса безопасной разработки (SSDLC): внедрение сканеров в CI/CD, платформа ASPM, обучение команд, сопровождение процесса.
- [Комплаенс и соответствие требованиям](https://www.deteact.ru/services/compliance): Оценка соответствия и подготовка к проверкам: 152-ФЗ, 187-ФЗ, ГОСТ Р 57580, PCI DSS, требования ЦБ РФ и ФСТЭК; лицензия ФСТЭК на ТЗКИ.

## Продукты

- [DeteAct EASM](https://www.deteact.ru/products/easm): Единственная в России платформа EASM, созданная настоящей командой пентестеров на основе многолетнего опыта: инвентаризация внешних активов, более 20 модулей сканирования, ИИ-триаж находок, упор на практическую защищённость, а не только на требования регуляторов. Включена в Реестр российского ПО.
- [DeteAct Avatar](https://www.deteact.ru/products/ai-pentest-avatar): Первая и единственная в России система автономного тестирования на проникновение ИИ-агентами: агенты исследуют цель, проверяют гипотезы и формируют реестр находок с CVSS и PoC под контролем экспертов.
- [DeteAct ASPM](https://www.deteact.ru/products/aspm): Платформа оркестрации сканеров безопасности в CI/CD: агрегация результатов SAST/DAST/SCA, дедупликация, приоритизация и контроль исправления.
- [DeteAct Scoper](https://www.deteact.ru/products/scoper): Платформа контроля покрытия пентеста: заказчик видит протестированные эндпоинты, активность специалистов и статистику в реальном времени.

## Отрасли

- [Банки и финтех](https://www.deteact.ru/industries/fintech): Банки, платёжные системы, страховые, брокеры
- [Бигтех](https://www.deteact.ru/industries/bigtech): Крупные технологические компании и экосистемы
- [Ритейл и маркетплейсы](https://www.deteact.ru/industries/retail): E-commerce, розничные сети, логистика
- [Облака и телеком](https://www.deteact.ru/industries/cloud): Облачные провайдеры, ЦОД, операторы связи
- [SaaS и стартапы](https://www.deteact.ru/industries/saas): Продуктовые компании и разработчики ПО

## Компания

- [О компании](https://www.deteact.ru/about): команда, достижения, реквизиты, лицензии
- [Методология](https://www.deteact.ru/methodology): стандарты, этапы работ, структура отчёта, классификация рисков
- [Вопросы и ответы](https://www.deteact.ru/faq): стоимость, сроки, формат отчёта, NDA, перепроверка, отличия пентеста от сканирования
- [Клиенты и отзывы](https://www.deteact.ru/clients): отрасли клиентов и отзывы
- [Контакты](https://www.deteact.ru/contacts): адрес, телефон, почта
- [Исследования](https://www.deteact.ru/research): технические разборы уязвимостей и кейсы из пентестов (бывший блог blog.deteact.ru)

## Исследования (статьи)

- [SSRF 2 RCE](https://www.deteact.ru/research/ssrf-2-rce) (2026-08-07): Это были киберучения (Red Teaming) для зрелой компании. Всё началось с обнаруженной SSRF уязвимости в аналитическом сервисе. Через него удалось отправлять HTTP-запросы к внутренним сервисам.…
- [Захват аккаунта через telegram-бот: от своего номера к чужому профилю](https://www.deteact.ru/research/account-takeover-thru-telegram-bot) (2026-01-28): Автор баги: arkiix Всего пять минут ожидания, один чужой номер телефона и обычная кнопка для получения ссылки — этого оказалось достаточно, чтобы обнаружить критическую уязвимость. Настолько…
- [Редтиминг в стиле Pwn2Own](https://www.deteact.ru/research/red-teaming-pentest-pwn2own) (2025-10-30): О том, как редтимеры пишут браузерные 1day-эксплойты, и как ПО для студийной записи vMix, запущенное на периметре, может привести к компрометации инфраструктуры
- [От рекона до домена. Часть 2.](https://www.deteact.ru/research/ot-rekona-do-domena-chast-2) (2025-09-29): Введение В продолжение статьи От рекона до домена мы детально разберем финальный этап атаки — цепочку эксплуатации, которая привела к полному контролю над доменом example.lan. На этом примере…
- [Уязвимости в Electron-приложениях: RCE через небезопасную конфигурацию](https://www.deteact.ru/research/electron-rce) (2025-08-06): Автор баги: panyakor Electron — популярный фреймворк для создания кроссплатформенных десктопных приложений с использованием веб-технологий. Однако неправильная конфигурация безопасности может…
- [От рекона до домена. Часть 1.](https://www.deteact.ru/research/kak-odin-zabytyj-fajl-privel-k-komprometaczii-infrastruktury) (2025-07-14): Введение Иногда цепочка, на первый взгляд незначительных уязвимостей, может обернуться серьёзной угрозой для безопасности организации. В этой статье мы расскажем о том, как совокупность таких…
- [Server-Side XSS → SSRF → Компрометация облачной инфраструктуры: как одна картинка стоила целого облака](https://www.deteact.ru/research/serverside-xss-ssrf-cloud-hacking) (2025-06-23): Автор баги: cyrus_0x00 В этой статье разберем атаку, начавшуюся с уязвимости XSS в генераторе изображений и завершившуюся получением полного доступа к облачной инфраструктуре. Рассмотрим пошагово,…
- [Как PAM-модуль позволил получить доступ к БД](https://www.deteact.ru/research/kak-pam-modul-pozvolil-poluchit-dostup-k-bd) (2025-05-29): В критичных базах PostgreSQL во внутренней инфраструктуре часто применяют внешнюю аутентификацию через PAM-модуль. Это позволяет реализовать ротацию паролей и ролевую модель на основе LDAP (AD),…
- [От Open Redirect до Account Takeover](https://www.deteact.ru/research/open-redirect-to-account-takeover) (2025-04-23): Узнайте, как небольшие уязвимости (IDOR, XSS, Open Redirect) в совокупности с неправильной настройкой CSP могут привести к захвату аккаунтов пользователей. Подробный разбор реального кейса из…
- [Социальная инженерия ИИ](https://www.deteact.ru/research/soczialnaya-inzheneriya-ii) (2024-03-25): Атаки на большие языковые модели (LLMs) как задача социальной инженерии.
- [Инъекции в почтовую функциональность веб-приложений](https://www.deteact.ru/research/e-mail-injection) (2023-11-18): Статья создана в ознакомительных целях и предназначена только для специалистов по анализу защищённости, которые проводят анализ защищённости ресурсов компании-заказчика строго на законных…
- [Топ-5 компаний по пентесту в мире](https://www.deteact.ru/research/top-pentest-company-2022) (2022-07-29): 15-17 июля 2022 г. прошёл глобальный чемпионат по хакингу среди компаний — HackTheBox Business CTF 2022. Команда DeteAct заняла в нём 5-е место, обойдя в рейтинге 652 компании, среди которых NCC…
- [Pentest as a Service](https://www.deteact.ru/research/pentest-as-a-service-intro) (2021-09-12): Решения для тестирования кибербезопасности: стандартная модель Решения по тестированию кибербезопасности часто делят на три последовательных уровня: сканирование уязвимостей, тестирование на…
- [Топ-10 компаний по пентесту в мире](https://www.deteact.ru/research/top-pentest-company) (2021-08-09): 23-25 июля 2021 г. на крупнейшей соревновательной пентест-платформе HackTheBox проводилось соревнование среди компаний по всему миру — HTB Business CTF 2021. На соревнование было зарегистрировано…
- [Взлом квантовой программы](https://www.deteact.ru/research/quantum-hacking) (2021-07-15): Программы для квантового компьютера тоже могут содержать уязвимости. Эти уязвимости могут позволять удалённо выполнять какие-то вычисления. Как же написать шеллкод для программы, уязвимой к…
- [Победа в The Standoff](https://www.deteact.ru/research/the-standoff-pwned) (2020-11-23): В прошедшую неделю закончились масштабные пятидневные киберучения The Standoff. Наши специалисты также поучаствовали в соревновании в качестве команды Red Team. Всего на стороне защиты участвовало…
- [Захват аккаунта через IDOR](https://www.deteact.ru/research/idor-account-takeover) (2020-08-27): Insecure Direct Object Reference (IDOR) — очень распространённый вид недостатков авторизационной логики приложения. Потенциальный ущерб от эксплуатации IDOR может быть как минимальным, так и…
- [Аудит безопасности Waves Enterprise Voting](https://www.deteact.ru/research/waves-enterprise-voting-security-audit) (2020-07-21): Команда Deteact провела анализ защищённости сервиса блкочейн-голосований на базе платформы Waves Enterprise. Waves Enterprise — это блокчейн-платформа, объединяющая приватные и публичные сети.…
- [Обход Content Security Policy](https://www.deteact.ru/research/csp-bypass) (2020-05-29): Content Security Policy (CSP) — это дополнительный механизм безопасности, встроенный в браузеры, позволяющий предотвращать Cross Site Scripting (XSS). CSP позволяет определять белые списки…
- [Обход Bitrix WAF](https://www.deteact.ru/research/bitrix-waf-bypass) (2020-04-26): UPD: Присвоен идентификатор CVE-2020-13758 Бывает, что при проведении XSS отражённого типа параметры попадают прямо в тело тега script. Обычно это означает, что эксплуатация тривиальна: не…
- [Безопасная разработка и сканирование уязвимостей](https://www.deteact.ru/research/skanirovanie-na-uyazvimosti-i-bezopasnaya-razrabotka) (2019-12-20): В рамках профессиональной деятельности пентестерам, разработчикам, безопасникам приходится заниматься такими процессами, как Vulnerability Management (VM), (Secure) Software Development LifeCycle…
- [Типичные ошибки реализации SMS-аутентификации](https://www.deteact.ru/research/common-flaws-of-sms-auth) (2019-12-12): Многие онлайн-сервисы используют SMS в качестве механизма аутентификации пользователей. Но допускаются маленькие ошибки, которые введут к крупным проблемам. Именно об этом пойдет речь в данной…
- [Инъекции в Yandex ClickHouse](https://www.deteact.ru/research/yandex-clickhouse-injection) (2019-08-13): В целях обработки большого количества данных в Яндекс.Метрике, Яндексом была создана колоночная СУБД ClickHouse. В рамках проектов по анализу защищённости мы встречали ClickHouse в системах…
- [DQL-инъекции](https://www.deteact.ru/research/dql-injection) (2019-08-01): В современных веб-приложениях всё реже бывают инъекции, все используют подготовленные запросы и ORM, но мы до сих пор встречаем инъекции при пентестах.

## Optional

- [Полная версия для LLM](https://www.deteact.ru/llms-full.txt)
- [Карьера](https://www.deteact.ru/careers)
- [Политика конфиденциальности](https://www.deteact.ru/politika-konfidentsialnosti)