Pentest de aplicaciones móviles Android e iOS
Análisis estático y dinámico de su app Android o iOS para detectar fugas de datos, fallas de autenticación y debilidades en la comunicación con el backend.
Las aplicaciones móviles manejan cada vez más información sensible de sus usuarios y procesos de negocio.
Nuestro pentest evalúa la seguridad de su aplicación Android o iOS mediante análisis estático y dinámico. Identificamos vulnerabilidades en el manejo de datos, en la comunicación con el backend y en la lógica de negocio expuesta en el cliente móvil, antes de que las explote un atacante.
4 etapas, de principio a fin
El servicio es remoto. Usted nos entrega el instalable (APK o IPA), credenciales de prueba con los roles necesarios y, si aplica, un ambiente de pruebas equivalente al productivo. Analizamos el binario, interceptamos el tráfico, probamos la autenticación, el almacenamiento local y la lógica de negocio, y correlacionamos los hallazgos con OWASP MASVS/MASTG. Priorizamos con CVSS y entregamos una matriz de riesgos.
-
01
Planificación y alistamiento
Kickoff, definición de plataforma, versión y entorno, alistamiento de accesos, builds y dispositivos, plan de pruebas y ventana de ejecución.
-
02
Ejecución técnica
Análisis estático y dinámico, pruebas de almacenamiento local, autenticación, sesión y lógica de negocio expuesta por la aplicación.
-
03
Análisis y documentación
Consolidamos evidencias, correlacionamos con OWASP MASVS/MASTG, priorizamos con CVSS y elaboramos la matriz de riesgos.
-
04
Informe y cierre
Redactamos y entregamos el informe con hallazgos y recomendaciones, y lo socializamos con su equipo.
Beneficios
Identifique datos confidenciales almacenados o transmitidos de forma insegura.
Valide si las llamadas API pueden ser interceptadas, manipuladas o suplantadas.
Detecte controles que deberían validarse en el servidor y no en la app.
Fortalezca la autenticación, los tokens, la biometría y el cierre de sesión.
Evidencie pruebas de seguridad móvil frente a marcos como OWASP MASVS.
Entregue a su equipo de desarrollo recomendaciones prácticas y accionables.
- Una aplicación, en una plataforma (Android o iOS) y una versión.
- Análisis estático del binario: configuración, permisos, secretos embebidos y librerías de terceros.
- Análisis dinámico: interceptación de tráfico, certificate pinning, autenticación y manejo de sesión.
- Pruebas de almacenamiento local, Keychain o Keystore, deep links e intents, y controles anti-tampering cuando aplique.
- Estándar OWASP MASVS/MASTG, priorización CVSS y matriz de riesgos por hallazgo.
- Informe con hallazgos priorizados por CVSS y recomendaciones.
- Matriz de riesgos por hallazgo (probabilidad e impacto).
- Retest opcional dentro de los seis meses posteriores, con informe ajustado.
Servicios relacionados
Reciba una propuesta a la medida.
Cuéntenos su contexto. Un especialista lo contacta en 1 día hábil con el alcance, las etapas y los tiempos.
¿No está seguro? Haga el autodiagnóstico de 3 minutos →