# La vostra app finisce sul telefono di ogni attaccante. Noi la apriamo per primi.

> Un penetration test di app mobile esamina un’app iOS o Android e il backend con cui comunica. I tester eseguono il reverse engineering dell’app, controllano cosa salva sul dispositivo, intercettano il traffico di rete e attaccano le API che ha alle spalle, seguendo l’OWASP Mobile Application Security Verification Standard (MASVS). Zyberum testa insieme l’app e la sua API, perché la maggior parte delle vulnerabilità gravi si trova nel backend.

Pentest di app iOS e Android: dati salvati sul dispositivo, reverse engineering, comunicazione con le API e backend, secondo OWASP MASVS. Prezzo fisso.

Source: https://zyberum.com/it/pentest-app-mobile

Chiunque può scaricare la vostra app, smontarla e osservare come comunica con i vostri server. Noi facciamo esattamente questo per iOS e Android, e vi diciamo cosa ne ricava un attaccante.

## Sul dispositivo e dietro le quinte

### Reverse engineering

Cosa rivela l’app una volta decompilata: chiavi API, endpoint nascosti, funzioni di debug, segreti hard-coded.

### Dati sul dispositivo

Cosa viene salvato, dove, e quanto è protetto se il telefono viene smarrito o sottoposto a root.

### Traffico di rete

Sicurezza del trasporto, certificate pinning e cosa si può modificare lungo il percorso.

### API di backend

Controllo degli accessi e logica di business dell’API: il punto da cui trapelano i dati degli altri utenti.

### Autenticazione

Login, biometria, token e il modo in cui le sessioni restano valide.

### Comunicazione con il dispositivo

Per le app companion: pairing Bluetooth e comandi verso il vostro dispositivo IoT.

## Quando l’app è la porta d’ingresso

## FAQ

**Testate l’app o il backend?**

Entrambi. L’app è la mappa, il backend è il posto in cui stanno i dati. Testando solo l’app si perdono le vulnerabilità con l’impatto maggiore.

**Vi serve il codice sorgente?**

No, basta una build di test. Con il codice sorgente riusciamo ad andare più a fondo nello stesso tempo.

**Basta testare una sola piattaforma?**

Se iOS e Android usano lo stesso backend, le vulnerabilità delle API valgono per entrambe. I problemi specifici della piattaforma, come lo storage locale, richiedono un test per ciascuna.

---
Zyberum GmbH. Canonical page: https://zyberum.com/it/pentest-app-mobile