Espreso Lab

Espresso Lab とは

Espresso Lab はモバイル製品を持つスタートアップ向けのセキュリティ会社だ。iOS か Android のアプリを渡すと、創業者の Mohammed Hmedat が率いるチームが侵入者の視点で攻める。コードの静的レビュー、稼働中のアプリの動的解析、保存領域・通信・認証の実行時チェックまで含む。テストケースは OWASP MASVS v2 のコントロール群と MASTG のガイドに対応づけられる。返ってくるのは構造化された不足点の一覧であり、観察メモの山ではない。

解いているのは日程の問題だ。シード期のチームに、6 週間と 5 桁の顧問料をエンタープライズ向けベンダーへ払う余裕はない。だが医療や金融のアプリをモバイルセキュリティ診断なしで公開するほうが高くつく。Espresso Lab は作業の反復部分、つまり証拠収集、テストの段取り、カバレッジ追跡を AI 支援のパイプラインに任せ、指摘の悪用確認と承認はシニアテスターが持つ。サイトでは納品を週単位ではなく日単位と謳い、価格もスタートアップ向けに置いている。

制約は構造から来る。これはサービスでありセルフサービスの製品ではない。ログインする管理画面も、深夜 2 時に自分で回せるスキャンも、公開価格表もない。人員も創業者中心なので同時に抱えられる案件は限られ、日程はカレンダー次第だ。初日から CI に自動スキャンを組み込みたいなら、買うのは案件 1 本と DevSecOps の構築であって、サブスクリプションではない。

始め方

1. espressolab.ai の問い合わせ欄から、アプリの種類、プラットフォーム、公開予定日を伝える。
2. 範囲と脅威モデルを決める。対象（アプリのバイナリ、バックエンド API、テスト用アカウント）は依頼側が指定し、Espresso Lab が攻撃面と信頼境界を整理する。
3. テスト期間に使うビルドと認証情報を渡す。自動偵察が MASVS のコントロール一式を先に回し、そのあと人間のテスターが申告された指摘を検証する。
4. レポートを読み、優先順位どおりに修正し、込みの再テストで全項目が閉じたことを確認してから公開する。