Pentesting de Aplicaciones Móviles
Encontramos las fallas de seguridad de tus apps iOS y Android, y de las APIs que las sostienen, antes de cada publicación o de forma periódica en producción.
- Duración típica
- 1 a 3 semanas
- Plataformas
- iOS y Android
- Incluye
- Retest antes de publicar
Beneficios
Qué gana tu organización
Metodología por plataforma
Pruebas específicas para cada ecosistema, porque los riesgos de iOS y de Android no son los mismos.
Cliente, red y backend
No solo el binario: analizamos también la comunicación y las APIs con las que tu app intercambia datos.
Riesgos propios del móvil
Revisamos lo que un escáner web no ve: datos guardados en el dispositivo, secretos embebidos y resistencia a la manipulación.
Estándar reconocido
Evaluamos contra OWASP MASVS, el estándar de la industria para verificar la seguridad de aplicaciones móviles.
¿Es para ti?
Este servicio es para ti si…
Si te reconoces en alguna de estas situaciones, es un buen momento para conversar.
Cuéntanos tu caso- Vas a publicar una app nueva o una versión con cambios en pagos, login o manejo de datos.
- Tu app maneja datos personales, pagos o el acceso a las cuentas de tus clientes.
- Un cliente, socio o auditor te pide evidencia de un pentest de tu app móvil.
- Tu app la desarrolla un proveedor externo y necesitas verificar su seguridad.
El servicio
¿En qué consiste?
Tu app móvil vive en dispositivos que no controlas: cualquiera puede descargarla, analizarla e intentar manipularla. Datos guardados sin cifrar, llaves o secretos incluidos en el código, o una API que confía demasiado en lo que envía la app pueden terminar en fraude o en una filtración de datos de tus clientes.
Siguiendo la guía OWASP MASTG y el estándar MASVS, evaluamos la aplicación en tres capas: el binario y el almacenamiento local, la comunicación con el backend y las APIs asociadas. Combinamos análisis estático y dinámico, ingeniería inversa controlada y la validación de las protecciones anti-tampering (contra la manipulación de la app) y de cifrado.
Cada hallazgo llega con evidencia, severidad CVSS y recomendaciones por plataforma, y validamos las correcciones con un retest antes de la publicación.
Entregables
Qué recibes
Informe ejecutivo
El riesgo de tu app en lenguaje de negocio, con conclusiones y prioridades para la toma de decisiones.
Informe técnico por plataforma
Cada hallazgo con evidencia, severidad CVSS y pasos para reproducirlo en iOS o Android.
Recomendaciones de remediación
Correcciones concretas para tu equipo de desarrollo o tu proveedor, priorizadas por riesgo.
Retest antes del release
Validación de las correcciones y estado final documentado de cada hallazgo antes de publicar.
Metodología
Cómo trabajamos
Un proceso en cuatro fases, de principio a fin, con tu equipo informado en cada etapa.
-
Análisis estático
Revisamos el binario y su código descompilado en busca de fallas de diseño y configuración.
- Almacenamiento inseguro de datos
- Secretos y llaves embebidas
- Permisos y configuración de la app
-
Análisis dinámico
Ejecutamos la app en un entorno instrumentado para observar su comportamiento real.
- Análisis del tráfico entre la app y el servidor
- Validación de controles anti-tampering
- Pruebas de sesión y autenticación
-
Pruebas de API y backend
Evaluamos los servicios que sostienen la app, donde suelen estar los datos más sensibles.
- Control de acceso y autorización
- Validación de entradas
- Endpoints expuestos no documentados
-
Reporte y retest
Entregamos hallazgos priorizados y acompañamos la corrección hasta el cierre.
- Informe ejecutivo y técnico
- Recomendaciones por plataforma
- Retest antes de la publicación
Preguntas frecuentes
Resolvemos tus dudas
Sí. Además de apps nativas de iOS y Android, adaptamos la metodología al framework que usa tu equipo de desarrollo.
No es obligatorio: podemos trabajar solo con la app compilada (caja negra). Con acceso al código logramos más cobertura en el mismo tiempo.
Idealmente antes de cada release mayor, para corregir sin exponer a tus usuarios, y de forma periódica una vez en producción, porque el backend y las amenazas también cambian.
Generalmente entre 1 y 3 semanas por aplicación, incluido el informe. Depende de si evaluamos una o ambas plataformas, de la cantidad de funcionalidades y de las APIs en alcance.
Los instaladores de prueba de la app para cada plataforma, usuarios de prueba por rol y un contacto técnico. Si el backend está en alcance, también acceso al ambiente acordado.
¿Tienes otra pregunta? Escríbenos y te respondemos.
Sigue explorando
Servicios relacionados
Pentesting de Aplicaciones Web
Encontramos las vulnerabilidades explotables de tus aplicaciones web y APIs antes que un atacante, y te decimos exactamente cómo cerrarlas.
Ver servicioPentesting de Redes (Interno y Externo)
Te mostramos por dónde podría entrar un atacante a tu red y hasta dónde llegaría una vez dentro, con un plan claro para cerrar esas rutas antes de que alguien las use.
Ver servicioSeguridad en la Nube (Cloud Security)
Encontramos las configuraciones inseguras, los permisos excesivos y las rutas de ataque de tus entornos AWS, Azure y Google Cloud, y te decimos cómo cerrarlas.
Ver servicio¿Avanzamos con Pentesting de Aplicaciones Móviles?
Agenda una reunión de 30 minutos: entendemos tu contexto y te proponemos el alcance adecuado para tu organización.
Agenda una reunión