¿Necesitas el análisis de vulnerabilidades y el pentest de interfaces que piden los requisitos 1A-1.3 y 4A-3.1? Encontramos las vulnerabilidades de tu software MPoC y de sus interfaces con el backend antes que el laboratorio.
PCI Mobile Payments on COTS (MPoC) regula la aceptación de pagos en dispositivos comerciales de uso general, como los smartphones.
Para tu evaluación PCI MPoC necesitas un análisis de vulnerabilidades del software MPoC y un pentest de sus interfaces con el backend, y debes repetir los dos cada año. Así lo recogen estos requisitos del estándar:
Las vulnerabilidades que aparecen durante la evaluación formal hay que corregirlas mientras está en curso, lo que puede retrasar la validación y el listado. El laboratorio no puede decirte cómo corregirlas, porque no puede participar en el diseño ni en el desarrollo de una solución que evalúa.
Comprobamos si un atacante puede llegar a los activos que PCI MPoC obliga a proteger, como los datos de la tarjeta, el PIN, las claves criptográficas o los datos de atestación. Definimos el alcance con tu equipo para cubrir las partes de tu solución MPoC o de tu servicio A&M a las que se aplican los requisitos. Según tu solución, las pruebas pueden incluir:
Indica qué probamos: el software MPoC en cada plataforma que soporta, la build y las interfaces con el backend. Cada hallazgo incluye evidencias, pasos para reproducirlo, impacto, puntuación CVSS con su vector, referencias a CWE y OWASP MASWE y cómo corregirlo.
Recoge el alcance y la build probados, los resultados y las prioridades, para la dirección y los perfiles no técnicos.
Si incluyes el retest, te enviamos una nueva versión del informe con el estado de cada hallazgo en la nueva build (corregido, mitigado o pendiente), antes de que presentes tu solución al laboratorio.
Si te hace falta, te damos sin coste adicional una carta firmada con lo que probamos, la versión, la fecha y el resultado, para tus clientes o auditores. Tras el retest, la actualizamos con los nuevos resultados.
Nuestro equipo viene de laboratorios de certificación de seguridad, con experiencia en estándares de pagos móviles como EMVCo SBMP y en Common Criteria. Conocemos los protocolos EMV y el procesamiento de pagos que PCI MPoC espera de quien hace estas pruebas.
Nuestro equipo contribuye a OWASP Mobile Application Security, la principal referencia para probar aplicaciones móviles. OWASP reconoció este trabajo al nombrar a vulnit OWASP MAS Advocate.
Te explicamos cómo corregir cada hallazgo y, si incluyes el retest, comprobamos las correcciones antes de que presentes tu solución.
Conoce al equipoPCI Mobile Payments on COTS (MPoC) es un estándar de seguridad para soluciones que aceptan pagos en dispositivos comerciales de uso general, como los smartphones. Cubre el software móvil, sus conexiones con los servicios de soporte y otras partes de la solución de pago.
Un laboratorio MPoC independiente y reconocido por PCI comprueba tu solución frente a los requisitos aplicables y revisa las evidencias que la respaldan. Nuestro análisis de vulnerabilidades y nuestro pentest de interfaces son parte de esas evidencias; no son la evaluación formal.
En principio, sí. Pero el análisis de vulnerabilidades es un trabajo adicional a la evaluación formal: requiere su propio proceso de pruebas y un informe aparte. El laboratorio no puede decirte cómo corregir las vulnerabilidades que encuentre, ni durante la evaluación formal ni fuera de ella, porque no puede evaluar una solución en cuyo diseño o desarrollo haya participado. Ten en cuenta cuánto apoyo en la corrección va a necesitar tu equipo al decidir quién hace el análisis.
Es posible, si cuentas con personal independiente del equipo de desarrollo del software y puedes documentar el alcance, las pruebas y los hallazgos. La norma espera que ese personal conozca los protocolos EMV y el procesamiento de pagos, y que tenga experiencia en seguridad móvil y en pentesting.
Cuando hace falta. En Android trabajamos sobre todo con Chameleon, nuestro entorno de análisis, que reproduce un dispositivo físico con sus capacidades de hardware. Si encontramos alguna limitación relevante para tu solución, usamos dispositivos físicos. En iOS usamos dispositivos físicos.
Las builds de tu software MPoC (la aplicación o el SDK que vas a presentar a la evaluación), usuarios de prueba y acceso a los entornos de backend incluidos en el alcance, ya sea producción, preproducción o un entorno de pruebas. Lo concretamos en la propuesta.
No. Por defecto, las pruebas son de caja negra (black-box): trabajamos con la misma información que tendría un atacante, usando la build que vas a presentar a la evaluación. Si lo prefieres, también podemos revisar el código fuente.
Sí, para cubrir más partes de tu solución y profundizar más en el mismo tiempo. Usamos proveedores de IA que no entrenan sus modelos con tus datos. Trabajamos solo con las cuentas que nos das o que creamos nosotros, nunca con cuentas de otros usuarios reales. Nuestros especialistas dirigen el trabajo y validan cada resultado. Si tu política no permite usar IA externa, dínoslo al acordar el alcance y trabajamos sin ella.
Depende del número de aplicaciones o SDK y de plataformas, de su complejidad (por ejemplo, criptografía propia o funciones de hardware como NFC), de las interfaces de backend incluidas y de la fecha de tu evaluación. Te enviamos una propuesta con un precio cerrado y el calendario. Las pruebas suelen llevar entre una y dos semanas por plataforma, con el pentest de interfaces y el informe incluidos, según la complejidad de tu solución. Normalmente podemos empezar la misma semana en que aceptas la propuesta; la fecha de inicio depende de la carga del equipo y la indicamos en la propuesta.
El retest se presupuesta aparte, a tarifa reducida. En la propuesta te damos dos opciones: solo las pruebas o las pruebas con una ronda de retest, para que sepas el coste total desde el principio.
Sí. Si planificas con nosotros tus análisis anuales, acordamos condiciones especiales para todo el ciclo.
Recibes un informe por plataforma con todos los hallazgos detallados. Si además quieres usarlos desde tus herramientas, también te los damos en CSV o JSON.
En inglés por defecto. Si lo necesitas en español, dínoslo.
Acordamos las condiciones de confidencialidad antes de que compartas builds o documentación. Tenemos un NDA tipo, pero si prefieres usar el tuyo, lo revisamos sin problema.
Nuestro servicio se centra en 1A-1.3 y 4A-3.1. Cuéntanos en qué otros requisitos estás trabajando y vemos si nuestra experiencia en seguridad móvil puede ayudarte. No realizamos la evaluación formal PCI MPoC.
No. Un pentest general de una aplicación móvil investiga vulnerabilidades dentro del alcance acordado de una aplicación. Este servicio se ajusta a los requisitos de PCI MPoC para el software MPoC y sus interfaces con el backend, incluidas las evidencias que piden estos requisitos para la evaluación en laboratorio y el ciclo anual de pruebas.
Cuéntanos cómo es tu solución y cuándo es tu evaluación. Te respondemos en un plazo de un día laborable para acordar una llamada y definir el alcance.
Habla con nuestro equipo