Pruebas de penetración de aplicaciones móviles
Probamos tus apps de iOS y Android como lo haría un atacante: análisis estático y dinámico, instrumentación en tiempo de ejecución para sortear los controles del lado del cliente y revisión de la API de backend de la que depende la app. La cobertura sigue el proyecto OWASP Mobile Application Security.
Qué probamos
El alcance se basa en OWASP MASVS v2.1.0 y sus ocho grupos de control (Storage, Crypto, Auth, Network, Platform, Code, Resilience y Privacy), y se prueba según OWASP MASTG. Como las apps móviles son clientes ligeros sobre API de servidor, el backend también entra en el alcance.
- Almacenamiento local inseguro y criptografía débil (MASVS-STORAGE / -CRYPTO)
- Autenticación, manejo de sesiones y validación de red/TLS (MASVS-AUTH / -NETWORK)
- Interacción con la plataforma: componentes exportados, deep links, IPC y WebViews (MASVS-PLATFORM)
- Calidad del código, secretos embebidos y ajustes de compilación inseguros (MASVS-CODE)
- Resiliencia: detección de root/jailbreak, atestación y anti-manipulación (MASVS-RESILIENCE)
- Controles de privacidad y la API de backend de la que depende la app (MASVS-PRIVACY)
Estático + dinámico, con instrumentación
Combinamos el análisis estático (decompilación, revisión de código manual y automatizada) con pruebas dinámicas (en tiempo de ejecución, interceptación de TLS, comprobaciones de certificate pinning). Los controles del lado del cliente se pueden eludir por diseño, así que el principio es que el servidor no debe confiar en el cliente. Si el pinning no se puede eludir, eso ya es un hallazgo de resiliencia.
- 1
Preparación
Acordamos el alcance (apps, versiones, cuentas, la base MAS) y el entorno de prueba, y firmamos un NDA.
- 2
Recopilación de información
Perfilamos la app, sus integraciones de plataforma y su backend para planificar la cobertura estática y dinámica.
- 3
Mapeo
Mapeamos componentes, deep links, IPC, almacenamiento y llamadas a la API frente a los grupos de control de MASVS.
- 4
Explotación
Revisión estática más instrumentación en tiempo de ejecución (Frida/Objection) para vencer los controles del lado del cliente y alcanzar la lógica y el tráfico.
- 5
Informe y reevaluación gratuita
Recibes un informe priorizado; reevaluamos los problemas corregidos sin coste adicional, dentro del plazo fijado en el SoW.
Qué recibes
La misma profundidad de entregable que nuestro informe de muestra, con cada hallazgo mapeado a los estándares MAS para que la cobertura sea auditable.
- Resumen ejecutivo y postura de riesgo global
- Cada hallazgo: descripción, impacto, evidencia, pasos para reproducir y remediación
- Declaración de alcance que cubre apps, versiones, API, cuentas y la base MAS
- Severidad puntuada con CVSS 3.1 y traducida a riesgo de negocio
- Referencias al grupo de control MASVS, la prueba MASTG y CWE
- Reevaluación gratuita de los problemas remediados dentro del plazo fijado en el SoW; SBOM CycloneDX opcional
Fundamentado en OWASP MASVS y MASTG
La cobertura se mapea a OWASP MASVS v2.1.0 (ocho grupos de control, incluido el grupo Privacy añadido en la 2.1.0) y se prueba según OWASP MASTG, con el alcance definido mediante los MAS Testing Profiles. Los hallazgos se puntúan con CVSS 3.1.