Pentesting de aplicaciones móviles
Auditoría de aplicaciones Android e iOS siguiendo el OWASP MASVS. Se revisa el paquete, lo que la aplicación deja escrito en el dispositivo y, sobre todo, el backend: la mayoría de los fallos graves no están en la app sino en la API que hay detrás.
Cuándo necesitarla
- Antes de publicar en la tienda
Una vez la app está en Google Play o en la App Store, cualquiera puede descargarla y abrirla. La revisión de la tienda no comprueba nada de esto.
- Si la app maneja pagos o identidad
La biometría, los tokens de sesión y los datos de tarjeta viven en un dispositivo que no controlas. Es donde más caro sale un fallo.
- En cada versión con cambios de fondo
Un SDK nuevo, un cambio de proveedor de login o una función que trabaja sin conexión cambian lo que la aplicación guarda en el teléfono.
- Como evidencia de cumplimiento
El artículo 32 del RGPD pide verificar las medidas técnicas con regularidad, y los datos que la app deja en el dispositivo entran en esa verificación.
Cómo lo enfocamos
La app, por dentro
Descompilamos el paquete y miramos qué se llevó al dispositivo: claves incrustadas, endpoints de preproducción, trazas de depuración. Lo que viaja dentro del binario está al alcance de cualquiera que se descargue tu app de la tienda.
En ejecución, con el móvil en la mano
Instalamos la aplicación en un dispositivo controlado y observamos qué guarda, qué manda y cómo reacciona si se le cambia la respuesta del servidor. Aquí salen el almacenamiento sin cifrar y el certificate pinning que se puede saltar.
El backend que hay detrás
Una app móvil es un cliente más de tu API, y un cliente se puede modificar. Probamos qué pasa cuando las peticiones no vienen de tu aplicación, sino de alguien que las escribe a mano con los mismos permisos.
Precio
El presupuesto se cierra tras el Kick-Off, con el alcance ya acordado y sin variables abiertas.
La cifra final depende del alcance: número de activos, escenario de partida y profundidad de las pruebas.
Incluido siempre
- ›La ejecución de la auditoría
- ›Informe técnico con evidencias y remediación
- ›Informe ejecutivo para dirección
- ›Re-auditoría de verificación al aplicar las correcciones
Metodología y estándares
Con qué se ejecuta esta auditoría. No confundir con las normas del bloque de cumplimiento: estas dicen cómo se ataca, aquellas qué hay que cumplir.
OWASP MASTG
El equivalente para aplicaciones móviles, con los niveles de verificación del MASVS: almacenamiento en el dispositivo, criptografía, comunicaciones y resistencia a la manipulación.
PTES
Es el esqueleto del encargo: define las siete fases, de la reunión previa al informe, y qué tiene que estar cerrado antes de pasar de una a la siguiente. De aquí sale el plan que firmas.
MITRE ATT&CK
Cada hallazgo se etiqueta con la técnica real que permitiría. Sirve para dos cosas: priorizar por lo que un atacante haría de verdad y hablar el mismo idioma que tu equipo de defensa.
Proceso en seis fases
El mismo método en todas las auditorías. Cada hito tiene duración estimada y entregable concreto.
Kick-Off
Definimos alcance, objetivos y reglas de juego contigo. Alineamos expectativas y accesos.
Plan de auditoría
Documento formal con metodología (OWASP, PTES, MITRE), fases de la auditoría, programación y matriz de comunicación.
Auditoría
Atacamos como lo haría un adversario real, de forma controlada y sin afectar tu operación.
Informe técnico
Documentamos cada vulnerabilidad con su evidencia, su riesgo y su remediación paso a paso.
Presentación
Explicamos el riesgo a dirección sin tecnicismos, con las prioridades en términos de negocio. Te quedas con la presentación usada.
Retest
Tienes hasta seis meses para pedirlo. Volvemos a probar lo que has corregido y lo certificamos con un informe de auditoría nuevo.
Quién la ejecuta
Las credenciales del equipo que hace el trabajo. Son certificaciones individuales de los auditores, no sellos de empresa.
Entregables
Lo que recibes al terminar. Son los mismos documentos en todas nuestras auditorías, porque salen de las fases del proceso.
- Plan de auditoría
Documento formal con la metodología, el calendario, los criterios de severidad y la matriz de comunicación. Lo revisas y lo firmas antes de que empecemos.
- Informe ejecutivo
El riesgo contado para dirección, sin tecnicismos: qué está en juego, qué hay que arreglar primero y qué esfuerzo supone cada cosa.
- Informe técnico
Cada vulnerabilidad con su evidencia, su prueba de concepto reproducible, su valoración de riesgo y su remediación paso a paso.
- Presentación de resultados
Sesión con tu equipo técnico y con dirección para explicar los hallazgos, resolver dudas y acordar el plan de corrección.
- Informe de retest
Verificación de cada corrección aplicada y certificado de cierre, con el que responder ante clientes, auditores externos o el regulador.
Cumplimiento normativo
Marcos que exigen o asumen pruebas técnicas periódicas. El informe se entrega en un formato que sirve como evidencia ante el auditor.
Preguntas frecuentes
Parte de 1.140 € y la cifra final depende del alcance: número de activos, escenario de partida y profundidad de las pruebas. El presupuesto se cierra tras el Kick-Off, que dura media hora, y llega sin variables abiertas. Lo que incluye no cambia: pruebas, informe técnico, informe ejecutivo, presentación y retest.
De una a tres semanas de pruebas, según el alcance. El resto del proceso es corto: media hora de Kick-Off, un día para escribir el plan de auditoría y de uno a tres días para el informe técnico. Las fechas y las ventanas de prueba se acuerdan contigo antes de empezar y quedan escritas en ese plan.
Las de más arriba en esta ficha. Van escritas en el plan de auditoría que firmas antes de que empecemos. La herramienta da la cobertura y la persona da la profundidad: un escáner recorre en una tarde lo que ningún auditor recorrería, y no entiende ni una sola de las reglas de tu negocio.
Sí, con las salvaguardas del Kick-Off. Trabajamos con explotación controlada y en la ventana que tú elijas, y no comprometemos la disponibilidad sin autorización expresa por escrito. Si aparece algo crítico no esperamos al informe: te avisamos en el momento, por el canal que hayamos pactado.
Sí. Cuando hayas aplicado las correcciones volvemos a probar cada hallazgo, uno a uno, para verificar que queda cerrado de verdad. Tienes hasta seis meses para pedirlo y no se factura aparte. El retest cierra con un informe nuevo, que es el documento con el que responder ante un cliente o ante un auditor.
Una vez al año. Y siempre que cambie de forma relevante lo que entra en el alcance: un despliegue grande, una migración o una integración nueva. Varias normas lo piden ya de forma explícita, y el requisito 11.4 de PCI DSS marca directamente una periodicidad anual.
¿Hablamos de tu pentesting de aplicaciones móviles?
Cuéntanos qué quieres auditar y te devolvemos un alcance y un presupuesto cerrado en menos de 24 horas.
- Respuesta en menos de 24 horas laborables
- Presupuesto cerrado, sin sorpresas
- Confidencialidad bajo acuerdo (NDA)