Qué cubrimos
Análisis estático y dinámico, storage en cliente, mal uso de criptografía, resistencia a interceptación, manejo de tokens, abuso de API desde el cliente móvil y exposición de SDKs de terceros.
Pruebas de penetración en aplicaciones móviles
Probamos la app en la que confían tus usuarios.
Pentesting iOS y Android centrado en almacenamiento local, seguridad de transporte, reverse engineering y abuso del backend.
Las apps móviles concentran credenciales, tokens, PII y caches offline en dispositivos fuera del perímetro. Un pentest móvil evalúa cómo extraer, manipular o usar esos activos contra tus APIs.
Analizamos protecciones del binario, certificate pinning, gaps de detección de jailbreak/root, almacenamiento inseguro (Keychain, SharedPreferences, SQLite, logs), IPC, deep links y WebViews. El análisis de tráfico y de API completa lo que un dispositivo rooted o una posición MITM puede lograr.
Seguimos metodologías móviles (incluyendo orientación OWASP MASVS/MSTG) con foco práctico: priorizamos account takeover, fuga de datos o transacciones no autorizadas—no ruido teórico.
Ideal antes de publicar en stores, tras un refactor grande, o cuando necesitás assurance sobre datos regulados en apps de consumidores o workforce.
Entregables
Hallazgos priorizados con evidencia de dispositivo y tráfico, guía de remediación para equipos mobile y backend, y validación opcional post-parche.
Preguntas frecuentes
¿Prueban iOS y Android?
Sí. Podemos cubrir una plataforma o ambas en el mismo engagement, según alcance y builds disponibles.
¿Hace falta el código fuente?
Se puede trabajar solo con binarios. El acceso a fuente acelera la revisión de crypto, storage y APIs peligrosas.
¿Y el backend móvil?
Las APIs que consume la app suelen estar en alcance: seguridad móvil sin probar API queda incompleta.
¿Apps empresariales internas?
Sí, incluyendo builds por MDM, con perfiles de dispositivo y accesos acordados.
Hablemos del alcance
Contanos el objetivo y armamos el engagement con reglas claras.