Almacenamiento local inseguro
Datos sensibles, tokens, credenciales o cachés guardados sin la protección adecuada en el dispositivo.
Pentest de aplicaciones móviles
Una app puede filtrar datos incluso con un backend seguro, si el cliente móvil nunca se prueba.
Pentest de aplicaciones móviles iOS y Android, incluyendo ingeniería inversa, almacenamiento local, comunicación con el backend y APIs, para apps con datos sensibles.
iOS y Android Referencia OWASP Mobile Binario, tráfico y backend
Cuándo esto importa
La aplicación instalada en el celular del usuario también es superficie de ataque.
A diferencia de un pentest web o de API, la evaluación móvil analiza el binario instalado, el almacenamiento local, la comunicación con los servicios y la capacidad de un atacante de manipular su propio dispositivo. Las fallas en ese nivel no aparecen en pruebas que solo evalúan el backend — por eso mismo el análisis de la app queda fuera del alcance estándar de un pentest de API.
01
Apps con datos sensibles o financieros
02
Fintechs y aplicaciones de salud
03
Antes de publicar en las tiendas
04
Exigencia de socios o reguladores
Cobertura
Qué evaluamos en una app iOS o Android.
La profundidad depende de la plataforma, del uso de bibliotecas nativas y de la criticidad de los datos que maneja la aplicación.
Comunicación insegura
Certificado, pinning, cifrado y resistencia a la interceptación del tráfico entre la app y el backend.
Autenticación y sesión
Biometría, tokens, renovación, expiración y protección contra la reutilización en dispositivos comprometidos.
Ingeniería inversa
Ofuscación, protección del binario, llaves embebidas y lógica sensible expuesta del lado del cliente.
Por dentro de la entrega
Vea cómo toma forma este trabajo.
Desde la alineación técnica hasta la entrega, el trabajo debe dejar el contexto, la evidencia y los siguientes pasos visibles para todos los involucrados.
01 / 04
Proceso
Una evaluación que cubre app, tráfico y backend.
Probamos el binario instalado, la comunicación en tránsito y los endpoints que consume la aplicación, con y sin el dispositivo comprometido.
Definición del alcance y las reglas
Documentamos activos, accesos, límites, ventana de ejecución y responsables antes de cualquier actividad.
Evaluación acompañada
Los especialistas de Vorvex ejecutan el trabajo con el apoyo de Apex para el reconocimiento, la correlación y la organización de las evidencias.
Validación y priorización
Los hallazgos se analizan considerando la explotabilidad, el impacto técnico y la consecuencia para el negocio.
Informe y reevaluación
Entregamos evidencias reproducibles, recomendaciones y, cuando se contrata, validamos las correcciones aplicadas.
Entregables
Hallazgos que también orientan decisiones de arquitectura móvil.
La entrega diferencia los riesgos del dispositivo, del tráfico y del backend para facilitar la corrección por parte del equipo responsable de cada capa.
Visión ejecutiva del riesgo
Resumen de exposición, impactos prioritarios y siguientes pasos para apoyar la decisión y la inversión.
Evidencia para corregir
Detalles técnicos, contexto, pasos de reproducción y orientación práctica de remediación.
Registro trazable
Alcance, período, metodología y estado de los hallazgos documentados para auditoría y rendición de cuentas.
Preguntas frecuentes
Respuestas concretas para planificar la evaluación.
Si su duda no está aquí, hable directamente con el equipo.
Preguntar por WhatsApp¿El pentest móvil reemplaza al pentest de API?+
No. Se complementan: la evaluación móvil cubre el binario, el dispositivo y la comunicación, mientras que el pentest de API profundiza en autenticación, autorización y reglas de negocio en el backend.
¿Prueban apps híbridas como React Native y Flutter?+
Sí. La metodología se adapta al framework, considerando cómo cada tecnología empaqueta el código, gestiona el almacenamiento local y se comunica con el backend.
¿Es necesario el código fuente de la aplicación?+
No es obligatorio. La evaluación se puede hacer a partir del binario publicado o de una build de prueba, aunque el acceso al código fuente puede aumentar la profundidad del análisis.
¿La prueba exige un dispositivo con jailbreak o root?+
Normalmente sí, para simular escenarios de dispositivo comprometido y analizar las protecciones contra ingeniería inversa y manipulación en tiempo de ejecución.
Siguiente paso
¿Va a publicar o actualizar una aplicación con datos sensibles?
Indique la plataforma (iOS, Android o ambas), si hay bibliotecas nativas y el tipo de dato que maneja la app.