Penetratietest in San Francisco, CA

Het dreigingslandschap van San Francisco en de Bay Area

Aanvallers in de Bay Area richten zich eerst op identiteit en pas daarna op infrastructuur. Een gemiddeld SaaS- of AI-bedrijf hier heeft geen eigen datacenter: de kroonjuwelen staan in een cloud-tenant, een broncodeplatform, een CI/CD-pipeline en enkele tientallen beheerconsoles van SaaS-diensten, allemaal bereikbaar via één single sign-on-identiteit. Het aanvalspatroon dat de regio typeert werd in september 2022 publiek beschreven, toen een ritdeelbedrijf met hoofdkantoor in San Francisco bekendmaakte dat een aanvaller het wachtwoord van een externe medewerker had bemachtigd, die medewerker met multifactor-pushverzoeken had bestookt tot er één werd goedgekeurd, zich via een berichtenapp had voorgedaan als interne IT, en vervolgens beheerderscredentials voor een privileged-access-managementplatform had gevonden die hard-coded in een script op een interne netwerkshare stonden. Elke stap in die keten komen we in opdrachten in de Bay Area nog steeds tegen: MFA die via vermoeidheid of social engineering te omzeilen is, helpdesks die na een overtuigend telefoontje een factor resetten, geheimen in scripts, repositories en buildlogs, en serviceaccounts met permanente beheerdersrechten. AI-bedrijven voegen daar een tweede aanvalsoppervlak aan toe. Model-endpoints, retrieval-pipelines, tool-calls van agents en plugin-koppelingen zijn te manipuleren via prompt injection, onveilige verwerking van output en te ruime bevoegdheden, de faalwijzen uit de OWASP LLM Top 10 2025, en trainingsdata en modelgewichten zijn inmiddels zelfstandige doelwitten. Fintech- en betaalplatforms dragen API-logicarisico: gebrekkige autorisatie op objectniveau, race conditions in grootboek- en uitbetalingsstromen, en webhook-endpoints die de aanroeper blind vertrouwen. Biotechbedrijven in South San Francisco beheren klinische en moleculaire data die staatsgelieerde groepen gericht verzamelen. Californië reguleert de uitkomst rechtstreeks: de California Consumer Privacy Act, zoals gewijzigd door de CPRA, vereist redelijke beveiliging en geeft consumenten een eigen vorderingsrecht wanneer onversleutelde persoonsgegevens lekken doordat die beveiliging ontbrak, en sinds 1 januari 2026 verplichten de cybersecurity-auditregels van de California Privacy Protection Agency grotere bedrijven tot onafhankelijke cybersecurity-audits, met de eerste certificeringen vanaf april 2028. Opdrachten in San Francisco brengen routinematig te ruime OAuth-koppelingen tussen SaaS-tools aan het licht, langlevende cloud-toegangssleutels in repositories, stagingomgevingen die de productie-identiteit delen, en AI-functies die met de juiste vraag gegevens van een andere tenant prijsgeven.

Compliance-frameworks waarvoor we rapporteren

De meeste rapporten uit de Bay Area belanden op drie plekken: in de securityreview van een klant, in het SOC 2- of PCI-dossier van een auditor en steeds vaker in een Californisch privacyprogramma. Elke opdracht levert daarom een korte attestatiebrief die onder NDA kan worden gedeeld, een volledig technisch rapport met reproduceerbare proof-of-concept-stappen en een register van bevindingen dat is gemapt op de onderstaande controls.

• California Consumer Privacy Act zoals gewijzigd door de CPRA (Cal. Civ. Code 1798.100 e.v.), inclusief de plicht tot redelijke beveiliging en het eigen vorderingsrecht bij datalekken in sectie 1798.150
• Cybersecurity-auditregels van de California Privacy Protection Agency, van kracht sinds 1 januari 2026, met de eerste auditcertificeringen vanaf april 2028 voor de grootste bedrijven
• Californische meldplicht datalekken (Cal. Civ. Code 1798.82) en de plicht tot redelijke beveiliging in sectie 1798.81.5
• California Confidentiality of Medical Information Act voor gezondheidsgegevens buiten HIPAA
• Toezicht van het California Department of Financial Protection and Innovation op vergunningplichtige fintech-, krediet- en geldtransferbedrijven
• Incidentmelding via Form 8-K Item 1.05 en governancerapportage onder Regulation S-K Item 106 voor beursgenoteerde softwarebedrijven in de Bay Area
• GLBA Safeguards Rule (16 CFR Part 314) voor niet-bancaire financiële instellingen
• Periodieke evaluatie onder 45 CFR 164.308(a)(8) voor covered entities en digital-health business associates
• Requirement 11.4 van PCI DSS v4.0.1 voor verwerkers, uitgevers en merchants met kaartdata in scope
• SOC 2 common criteria CC7.1 en CC7.4 zoals getoetst in Type II-rapporten
• OWASP LLM Top 10 2025 en het NIST AI Risk Management Framework voor AI-systemen
• FedRAMP Rev. 5 CA-8 penetratietests voor SaaS die aan federale overheidsdiensten wordt geleverd
• NIST SP 800-115 als methodologische basis voor planning, uitvoering en rapportage

Waarom organisaties in San Francisco kiezen voor HackersHub

Bijna alles wat een softwarebedrijf in de Bay Area getest wil hebben zit achter een login of een cloud-API, dus de afstand tussen Amsterdam en San Francisco weegt hier minder zwaar dan in welke andere Amerikaanse markt ook. HackersHub, in 2015 in Nederland opgericht en goed voor meer dan 2.500 afgeronde opdrachten, test SaaS-platforms, AI-functies, betaal-API's en cloud-tenants remote vanuit Amsterdam. Voor een Nederlands of Europees moederbedrijf betekent dat bovendien een team dat de AVG- en NIS2-verwachtingen al kent, en rapportage in het Engels en het Nederlands. Bevat de scope kantoornetwerken, draadloze netwerken, laboratoriumsystemen in South San Francisco of hardware in Santa Clara, dan vliegen testers in voor het on-site venster, en geselecteerde Amerikaanse delivery partners leveren onder onze methodologie extra capaciteit wanneer een opdracht langer mensen ter plaatse vraagt. HackersHub heeft geen kantoor in Californië of elders in de VS; de volledige toetreding tot de Amerikaanse markt staat gepland voor het eerste kwartaal van 2027. Michael van Mameren (OSCP) leidt de opdrachten, iedere tester heeft minimaal OSCP, OSWE- en CREST-houders zorgen voor diepgang in applicaties en infrastructuur, en een hertest van bevindingen vanaf medium binnen 90 dagen hoort bij het rapport. Klanten beoordelen het werk met 4,9/5 over 127 reviews.