Transakcja, którą Bank of America właśnie zawarł

Bank of America poinformował 30 lipca 2026 roku, że przejmie MDSec Consulting Limited, brytyjską firmę doradczą w dziedzinie bezpieczeństwa informacji z siedzibą w Macclesfield w Anglii, w północno-zachodniej części kraju, niedaleko Manchesteru i Chester. MDSec zatrudnia około 65 wysoko wyspecjalizowanych ekspertów w zakresie testów penetracyjnych, ćwiczeń red team, symulacji przeciwnika i badań nad zagrożeniami. Bank of America nie ujawnił warunków finansowych transakcji, której zamknięcie spodziewane jest w czwartym kwartale 2026 roku, z zastrzeżeniem zgody regulatorów. Własne biuro prasowe banku określiło ją jako pierwszą akwizycję od pięciu lat.

Kris Fador, dyrektorka ds. bezpieczeństwa informacji w Bank of America, umieściła transakcję w kontekście reputacji przejmowanej firmy: "Od dawna podziwiamy wyjątkowe umiejętności zespołu MDSec i cieszymy się, że Bank of America i jego klienci będą teraz jeszcze bardziej korzystać z ich pracy." Współzałożyciel MDSec Dominic Chell opisał ten krok ze strony sprzedającego jako dopasowanie zarówno kulturowe, jak i finansowe: "Dołączenie do jednej z czołowych instytucji finansowych świata, która odzwierciedla naszą kulturę innowacji i doskonałości technicznej, daje nam niesamowitą szansę."

Kupowanie kompetencji red team zamiast jej budowania

Duże regulowane banki historycznie traktowały testy bezpieczeństwa ofensywnego, czyli zatrudnianie specjalistów do atakowania własnych systemów, zanim zrobi to przestępca, jako usługę kupowaną projektowo lub kompetencję, która powoli rośnie wewnętrznie. Bank of America prowadzi już znaczące centrum operacji przeciw zagrożeniom cybernetycznym w pobliskim Chester, zatrudniając tam ponad 1400 osób, więc bank nie zaczyna od zera w zakresie kadry bezpieczeństwa. Zmienia się metoda: zamiast publikować oferty pracy lub inwestować kolejny rok w szkolenia wewnętrzne, bank kupił ugruntowany zespół red team wraz z jego relacjami z klientami, potokiem badawczym i reputacją.

Ten wybór jest właściwym sygnałem. Kultura testów penetracyjnych i red team, instynkt myślenia jak atakujący zamiast jedynie łatania znanych luk, jest trudna do zbudowania wewnątrz dużej, ostrożnej wobec ryzyka instytucji w normalnym tempie zatrudniania. Przejęcie firmy takiej jak MDSec kupuje lata zgromadzonego myślenia przeciwnika w jednej transakcji, i kupuje je już w pełni ukształtowane, a nie w połowie wyszkolone. To, że instytucja, która od pięciu lat nie dokonała żadnej akwizycji, przeznaczyła swoją pierwszą transakcję właśnie na talenty bezpieczeństwa ofensywnego, a nie na produkt, platformę czy pozycję rynkową, jasno pokazuje, jakiej kompetencji bank uznał się za niedoborowy.

Presja sztucznej inteligencji podnosząca poprzeczkę pentestów

Tłem tej transakcji jest zmiana w tym, co potrafią atakujący. Narzędzia wspomagane sztuczną inteligencją obniżają koszt znajdowania podatności, automatyzują rekonesans i generują przekonujące materiały socjotechniczne w skali przewyższającej to, co testowała większość wewnętrznych zespołów bezpieczeństwa jeszcze dwa lata temu. SecurityWeek i inne media, które opisywały transakcję MDSec, umieściły ją w szerszej fali banków i instytucji finansowych przewartościowujących swoją obronę cybernetyczną, w miarę jak narzędzia ataku stają się tańsze i szybsze w użyciu. Wewnętrzne testy penetracyjne, które były "wystarczająco dobre" wobec pojedynczego ludzkiego atakującego, to słabsza poprzeczka wobec narzędzi zdolnych do ciągłego przechodzenia przez warianty ataku.

Dlatego tę transakcję należy czytać jako coś więcej niż jednorazowe zatrudnienie. Posiadanie własnego, stale dostępnego zespołu red team, zamiast wynajmowania go na jedno coroczne ćwiczenie, pozwala instytucji testować się na bieżąco wobec zmieniającego się zagrożenia, zamiast robić migawkę własnej obrony raz w roku i liczyć, że luka między testami nie ma znaczenia. Dla każdej organizacji, której testy bezpieczeństwa nadal odbywają się w cyklu rocznym lub półrocznym, tempo rozwoju ataków napędzane sztuczną inteligencją jest argumentem za przekształceniem testów bezpieczeństwa ofensywnego z okresowego audytu w stałą wewnętrzną kompetencję.

Co to oznacza dla firm pentestowych i ich konkurencji

Najbardziej użyteczny sposób czytania tej transakcji to nie traktowanie jej jako pojedynczej operacji, lecz jako wczesnego punktu danych we wzorcu, który prawdopodobnie się powtórzy. Duże regulowane instytucje - banki, ubezpieczyciele i infrastruktura rynków finansowych wokół nich - znajdują się pod taką samą presją konkurencyjną i regulacyjną, na jaką odpowiada tu Bank of America; w Polsce Komisja Nadzoru Finansowego wymaga od instytucji takich jak PKO Bank Polski równie testowanej i aktualnej obrony cybernetycznej, a niewiele instytucji potrafi zbudować dojrzałą kulturę bezpieczeństwa ofensywnego wewnętrznie w tempie, jakiego wymaga rozwój narzędzi ataku. Przejęcie ugruntowanej butikowej firmy pentestowej lub red teamowej, wraz z jej metodyką, starszymi badaczami i zaufaniem klientów, jest szybsze niż zatrudnianie specjalisty po specjaliście. Właściciele średniej wielkości MSSP oraz europejskich butikowych firm bezpieczeństwa powinni potraktować tę transakcję jako sygnał, że są prawdopodobnym celem przejęcia dla dużego regulowanego nabywcy, a nie hipotetycznym.

Druga strona tego sygnału skierowana jest do CISO w konkurencyjnych instytucjach. Jeśli kompetencja bezpieczeństwa ofensywnego stanie się czymś, co porównywalne banki i ubezpieczyciele posiadają w całości zamiast okazjonalnie wynajmować, wewnętrzna poprzeczka "adekwatnie testujemy własną obronę" podnosi się dla wszystkich mierzonych względem tej grupy porównawczej. CISO, którego organizacja nadal traktuje testy penetracyjne jako coroczne ćwiczenie zgodności, powinien spodziewać się, że to porównanie stanie się mniej komfortowe w miarę jak więcej instytucji sektora przenosi tę kompetencję do wewnątrz.

Czytaj dalej: Zakład Nvidii na 3 mld dolarów dotyczy sieci, nie chipów  |  Flota robotaksówek Londynu działa teraz w oparciu o jedną firmę