¿Necesitas un informe de seguridad de tu aplicación Android o iOS? Encontramos las vulnerabilidades, confirmamos cada hallazgo, priorizamos lo que importa y te decimos cómo corregirlo.
Para equipos que desarrollan y publican aplicaciones Android e iOS.
Las aplicaciones móviles gestionan cuentas, datos personales y pagos, y dependen de APIs a las que un atacante puede llegar directamente. Una vulnerabilidad puede exponer los datos de tus usuarios o permitir que alguien se aproveche de tu servicio.
Cuéntanos qué quieres probar y para qué necesitas el pentest.
Cada aplicación es distinta: antes de probarla, la estudiamos para decidir dónde merece la pena dedicar el esfuerzo. Según el alcance acordado, las pruebas pueden cubrir:
Si lo que necesitas es comprobar si las protecciones RASP o anti-bot de tu aplicación frenan a un atacante real, contamos con un servicio específico para eso.
Cada hallazgo incluye evidencias, pasos para reproducirlo, impacto, puntuación CVSS con su vector, referencias a CWE y OWASP MASWE y cómo corregirlo.
Recoge el alcance y la build probados, los resultados y las prioridades, para la dirección y los perfiles no técnicos.
Si incluyes el retest, te enviamos una nueva versión del informe con el estado de cada hallazgo en la nueva build.
Si te hace falta, te damos sin coste adicional una carta firmada con lo que probamos, la versión, la fecha y el resultado, para tus clientes o auditores. Tras el retest, la actualizamos con los nuevos resultados.
Nuestro equipo aporta pruebas y demostraciones al OWASP MASTG, y esos mismos especialistas son los que prueban tu aplicación. OWASP reconoció este trabajo al nombrar a vulnit OWASP MAS Advocate, y el equipo cuenta con certificaciones ofensivas como OSCP, OSWE y OSED.
La ingeniería inversa de aplicaciones protegidas es nuestro día a día: el certificate pinning, la detección de root o la ofuscación son parte del trabajo, no el final. Probamos la misma build que usan tus usuarios, sin que tu equipo tenga que preparar una especial.
Conoce al equipoEstá pensado para eso. El informe incluye un resumen ejecutivo para lectores no técnicos y, si te hace falta, te damos una carta firmada, sin coste adicional, con lo que probamos, la versión, la fecha y el resultado, para compartirla sin enseñar el detalle de los hallazgos.
Depende de cuántas plataformas haya que probar (Android, iOS o ambas), de la complejidad de tu aplicación y del alcance. Te enviamos una propuesta con un precio cerrado y el calendario. Las pruebas suelen llevar entre una y dos semanas por plataforma, con el informe incluido. Normalmente podemos empezar la misma semana en que aceptas la propuesta; la fecha de inicio depende de la carga del equipo y la indicamos en la propuesta.
Pueden incluirse, y en general lo recomendamos: gran parte del riesgo de una aplicación móvil está en las APIs que usa. Lo valoramos contigo, caso a caso, según el tipo de aplicación y lo que exponga su backend.
Las builds de la aplicación (APK o AAB para Android, IPA para iOS), usuarios de prueba para cada rol que haya que probar y acceso al entorno que prefieras, ya sea producción o un entorno de pruebas. Lo concretamos en la propuesta.
No. Por defecto, las pruebas son de caja negra (black-box): atacamos tu aplicación con la misma información que tendría un atacante, usando la misma build que publicas para tus usuarios. Si lo prefieres, también podemos revisar el código fuente.
Cuando hace falta. En Android trabajamos sobre todo con Chameleon, nuestro entorno de análisis, que reproduce un dispositivo físico con sus capacidades de hardware. Si encontramos alguna limitación relevante para tu aplicación, usamos dispositivos físicos. En iOS usamos dispositivos físicos.
Sí, para cubrir más partes de tu aplicación y profundizar más en el mismo tiempo. Usamos proveedores de IA que no entrenan sus modelos con tus datos. Trabajamos solo con las cuentas que nos das o que creamos nosotros, nunca con cuentas de otros usuarios reales. Nuestros especialistas dirigen el trabajo y validan cada resultado. Si tu política no permite usar IA externa, dínoslo al acordar el alcance y trabajamos sin ella.
Nuestros especialistas revisan y validan cada hallazgo. La automatización y la IA les ayudan en el análisis, pero la última palabra es siempre suya.
El retest se presupuesta aparte, a tarifa reducida. En la propuesta te damos dos opciones: solo las pruebas o las pruebas con una ronda de retest, para que sepas el coste total desde el principio.
Recibes un informe por plataforma con todos los hallazgos detallados. Si además quieres usarlos desde tus herramientas, también te los damos en CSV o JSON.
En inglés por defecto. Si lo necesitas en español, dínoslo.
Acordamos las condiciones de confidencialidad antes de que compartas builds o documentación. Tenemos un NDA tipo, pero si prefieres usar el tuyo, lo revisamos sin problema.
Un pentest se centra en las vulnerabilidades explotables y su impacto. Si quieres comprobar qué controles de seguridad concretos cumple tu aplicación, consulta nuestra auditoría OWASP MASVS. Si necesitas las dos cosas, las podemos combinar en un solo proyecto, para que el trabajo de una sirva también a la otra.
Para software de pago móvil, nuestro análisis de vulnerabilidades PCI MPoC ayuda a identificar debilidades de seguridad y a prepararte para la evaluación formal del laboratorio.
Para los requisitos de seguridad de producto de la UE, nuestro servicio de CRA para aplicaciones móviles conecta las evidencias con tu documentación técnica.
Háblanos de tu aplicación y de para qué necesitas el pentest. Te respondemos en un plazo de un día laborable para acordar una llamada y definir el alcance.
Habla con nuestro equipo