# Su app llega al móvil de cualquier atacante. Nosotros la abrimos antes.

> Un test de penetración de apps móviles examina una app para iOS o Android y el backend con el que se comunica. Los pentesters aplican ingeniería inversa a la app, inspeccionan lo que guarda en el dispositivo, interceptan su tráfico de red y atacan las API que hay detrás, siguiendo el OWASP Mobile Application Security Verification Standard (MASVS). Zyberum prueba la app y su API juntas, porque la mayoría de los hallazgos graves están en el backend.

Pentest de apps iOS y Android: datos en el dispositivo, ingeniería inversa, comunicación con la API y control de acceso del backend, según OWASP MASVS.

Source: https://zyberum.com/es/pentest-app-movil

Cualquiera puede descargar su app, desmontarla y observar cómo habla con sus servidores. Hacemos exactamente eso con iOS y Android, y le contamos qué aprende de ella un atacante.

## En el dispositivo y detrás de él

### Ingeniería inversa

Lo que la app revela al descompilarla: claves de API, endpoints ocultos, funciones de depuración y secretos incrustados en el código.

### Datos en el dispositivo

Qué se guarda, dónde y cómo de bien protegido está si el móvil se pierde o está rooteado.

### Tráfico de red

Seguridad del transporte, certificate pinning y qué se puede modificar por el camino.

### API del backend

Control de acceso y lógica de negocio de la API: el lugar por donde se filtran los datos de otros usuarios.

### Autenticación

Inicio de sesión, biometría, tokens y cómo se mantienen vivas las sesiones.

### Comunicación con el dispositivo

En apps asociadas a un producto: emparejamiento Bluetooth y comandos a su dispositivo IoT.

## Cuando la app es la puerta de entrada

## FAQ

**¿Prueban la app o el backend?**

Las dos cosas. La app es el mapa; el backend es donde están los datos. Si solo se prueba la app, se escapan los hallazgos de mayor impacto.

**¿Necesitan el código fuente?**

No, basta con una build de prueba. Con el código fuente podemos llegar más lejos en el mismo tiempo.

**¿Basta con una plataforma?**

Si iOS y Android usan el mismo backend, los hallazgos de la API valen para ambas. Los problemas propios de cada plataforma, como el almacenamiento local, requieren un test por plataforma.

---
Zyberum GmbH. Canonical page: https://zyberum.com/es/pentest-app-movil