Las aplicaciones móviles se han convertido en parte fundamental de las operaciones de empresas de diversos sectores, utilizadas para servicios bancarios, comercio electrónico, salud, logística, comunicación, autenticación, gestión corporativa y muchas otras actividades.
A medida que crece el uso de dispositivos móviles, también aumenta el interés de los delincuentes por explotar vulnerabilidades presentes en esas aplicaciones para obtener acceso indebido a información sensible, cuentas de usuarios y recursos de la organización.
Además de la propia aplicación, una app móvil normalmente interactúa con APIs, servicios en la nube, bases de datos, mecanismos de autenticación y otros componentes, lo que amplía considerablemente su superficie de ataque.
El Pentest Móvil tiene como objetivo identificar vulnerabilidades antes de que puedan ser explotadas, permitiendo corregirlas durante el ciclo de desarrollo o antes de poner la aplicación a disposición de los usuarios.
Según el alcance contratado, la evaluación puede incluir:
Las pruebas se realizan utilizando metodologías reconocidas internacionalmente, como el OWASP Mobile Application Security Testing Guide (MASTG) y el OWASP Mobile Top 10, adaptadas a las características de la aplicación y al alcance contratado.
Gran parte de la evaluación se realiza manualmente por especialistas, utilizando herramientas automatizadas solo como apoyo en las etapas de reconocimiento, análisis estático y análisis dinámico.
Durante las pruebas pueden analizarse la aplicación instalada en el dispositivo, el tráfico de red, las comunicaciones con las APIs, el almacenamiento local, los mecanismos de autenticación y las protecciones implementadas contra ingeniería inversa e instrumentación.
Todas las pruebas se ejecutan de forma controlada, dentro del alcance autorizado por la empresa, buscando minimizar impactos en el funcionamiento normal de la aplicación y de los servicios relacionados.
Al finalizar la evaluación entregamos un informe técnico y un informe ejecutivo con toda la información necesaria para apoyar la corrección de las vulnerabilidades identificadas.
El informe incluye:
Además del informe técnico, también entregamos una Carta de Atestación de Pentest, documento que acredita la realización de las pruebas y puede utilizarse como evidencia en auditorías, procesos de cumplimiento, homologación de proveedores y ante clientes y socios comerciales.