Seguridad Móvil · OWASP MASTG · iOS, Android

Auditoría de
Aplicación Móvil

La Auditoría de Aplicación Móvil detecta deficiencias y vulnerabilidades de seguridad en las aplicaciones corporativas para iOS y Android. Simulamos la actuación real de un atacante que, sin disponer del código fuente, intente comprometer la aplicación y los datos que gestiona.

Análisis
Estudio funcional y técnico de la aplicación móvil
Auditoría
Pruebas de seguridad según OWASP MASTG / MASVS
Documentación
Informe ejecutivo y técnico con clasificación de riesgo
El servicio

¿Qué es una Auditoría de Aplicación Móvil?

Las aplicaciones móviles se han convertido en un canal esencial para que las organizaciones ofrezcan servicios, interactúen con sus clientes y gestionen información crítica. Esta creciente dependencia hace que la seguridad de las aplicaciones y de las comunicaciones que establecen con otros sistemas sea un aspecto clave para proteger los datos y la continuidad del negocio.

Nuestra auditoría de aplicaciones móviles tiene como objetivo identificar vulnerabilidades y debilidades que puedan ser aprovechadas por un atacante para comprometer la seguridad de la aplicación, los datos de los usuarios o los sistemas corporativos.

Las pruebas se realizan siguiendo una metodología de caja negra, lo que significa que no se analiza el código fuente de la aplicación. De este modo, simulamos el comportamiento de un atacante real que intenta identificar y explotar vulnerabilidades utilizando únicamente la información y el acceso disponibles públicamente.

Este enfoque permite evaluar de forma realista el nivel de exposición de la aplicación y determinar el impacto que podría tener un ataque sobre la organización y sus usuarios.

Para llevar a cabo la auditoría de las aplicaciones corporativas dividimos el proceso en varias fases:

Análisis Funcional
Se realiza un estudio general de la aplicación, adquiriendo una visión global de las funcionalidades que proporciona con el fin de plantear las actuaciones y procedimientos óptimos que se llevan a cabo en el Análisis Técnico.
Análisis Técnico
Se realiza un análisis de la aplicación de manera que se pueda decidir a qué tipos de ataques es sensible.
Diseño de las pruebas
En esta fase se diseñan las pruebas a realizar para explotar aquellas deficiencias de seguridad que puedan aparecer en la aplicación auditada.
Desarrollo de las pruebas
Se programarán las pruebas a ejecutar, y se determinará el orden en el que se llevarán a cabo.
Realización de las pruebas
Durante esta fase se llevan a cabo todas las pruebas sobre la aplicación auditada, se analizan los resultados obtenidos y en el caso de detectar nuevas vulnerabilidades a explotar se vuelve a la fase de diseño para intentar explotarlas.
Nuestros servicios

Cómo trabajamos

01Pruebas para la Recopilación de Información
  • Análisis de requerimientos necesarios para la Auditoría
  • Análisis de los requisitos de Comunicación.
  • Análisis de las funcionalidades y/o características de la aplicación.
  • Análisis de la arquitectura software de la aplicación.
02Pruebas para el Análisis Estático
  • Requerimientos necesarios para la auditoría de código.
  • Revisión del proceso de Autenticación.
  • Revisión de los métodos de almacenamiento de Información.
  • Gestión de las comunicaciones Seguras.
  • Búsqueda de información sensible accesible.
03Pruebas para el Análisis Dinámico
  • Análisis a nivel de App Cliente.
  • Análisis a nivel de comunicaciones.
  • Análisis a nivel de servidor o backend API.
04Resultados
Tras la ejecución de las pruebas, se analizan los resultados obtenidos y se genera la documentación asociada.
  • Resumen ejecutivo del resultado de la Auditoría.
  • Resultados obtenidos en los diferentes tests que se han realizado, identificando los problemas de seguridad encontrados y especificando en qué condiciones se encontraron, con el fin que puedan ser reproducidas (dentro de lo posible) para facilitar su localización y resolución.
  • Recomendaciones que permitan solucionar de la forma más acertada los problemas de seguridad encontrados.
  • Clasificación de los problemas de seguridad detectados según su nivel de peligrosidad.
Servicios Relacionados
Auditoría de Aplicación Web Auditoría de API Test de Intrusión Ejercicios Red Team Escaneos ASV Auditoría de Código Fuente

Alcance del servicio

Qué engloba este servicio

Recopilación de información

Requerimientos de la auditoría, requisitos de comunicación, funcionalidades y arquitectura software de la aplicación.

Análisis estático

Requerimientos para la auditoría de código, proceso de autenticación, almacenamiento de información y comunicaciones seguras.

Análisis dinámico

Pruebas a nivel de app cliente, de comunicaciones y de servidor o backend API.

Metodología de caja negra

Simulación de un atacante real que intenta explotar vulnerabilidades solo con la información y el acceso disponibles públicamente.

Información sensible y comunicaciones

Búsqueda de información sensible accesible y análisis de las comunicaciones de la aplicación con otros sistemas.

Resultados

Resumen ejecutivo, resultados reproducibles, recomendaciones y clasificación de los problemas según su peligrosidad.

Lo que dicen nuestros clientes

Organizaciones que confían en nosotros

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a la norma ISO/IEC 27001:2022, la realización de auditorías internas y el proceso de certificación en PCI DSS ha sido fundamental para fortalecer nuestro sistema de gestión de seguridad de la información.

Ricardo Andrés Cárdenas Galvis
Of. Seguridad de la Información · Neurona

El apoyo estratégico de Internet Security Auditors como CISOaaS ha sido fundamental para reforzar nuestro equipo interno. Su experiencia complementa perfectamente el trabajo de nuestro CISO y nos ha permitido avanzar más rápido en la madurez de nuestra ciberseguridad.

CISO
RACC

En nombre de Outsourcing SAS BIC, queremos expresar nuestro agradecimiento por el compromiso y dedicación durante la implementación del cumplimiento PCI DSS en nuestro call center. Logramos establecer un entorno seguro conforme con los requisitos más exigentes de la industria de pagos.

Yulian Colmenares
Of. Seguridad de la Información · Outsourcing SAS BIC

Trabajar con Internet Security Auditors ha sido una experiencia positiva en todos los sentidos. Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

Andrés Mejía
Head of GRC · Payválida

Como CFO de Saint Louis University – Madrid Campus, he tenido la oportunidad de trabajar con Internet Security Auditors. Han sido nuestro socio indispensable para la implementación de los requisitos marcados por la normativa de RGPD. Me gustaría destacar su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles…

Victoria Villarreal Palazón
Vice-Rector & Associate VP CFO · Saint Louis University

Como CFO de Fleurop - Interflora España trabajamos con Internet Security Auditors desde hace años en el ámbito de consultoría y cumplimiento de RGPD. Siendo Interflora una compañía 100% orientada al comercio online, los servicios profesionales de Internet Security Auditors nos dan soporte, seguridad y tranquilidad de que toda nuestra actividad está alineada con el cumplimiento de RGPD.

Francisco Tébar Prada
CFO Southern Europe · Fleurop - Interflora España

Como CISO en Intaremit S.A. la importancia que le damos a la seguridad lógica es muy alta. Ya no solo por el mero hecho de que la normativa PCI-CPP nos exija 4 escaneos de vulnerabilidad internos y externos y un pen-test interno y externo anual; si no también por la propia seguridad y tranquilidad que nuestra compañía quiere brindar a todos y cada uno de sus clientes. Llevamos más de 10 años trabajando y colaborando con Internet Security Auditors por su experiencia, compromiso y cercanía; por lo que lo recomiendo sin dudarlo.

Sergio Sainz de la Maza
CISO · Intaremit

En Grupo Arbulu, hemos colaborado estrechamente con Internet Security Auditors en la implementación de medidas de ciberseguridad avanzadas. Gracias a su experiencia, hemos mejorado significativamente nuestra capacidad para detectar y mitigar riesgos cibernéticos. Las auditorías exhaustivas y las soluciones personalizadas han fortalecido nuestra infraestructura de seguridad, asegurando la protección de nuestros datos y la continuidad de nuestras operaciones.

Marcos Montes de Oca
CIO · Grupo Arbulu

Como CEO de Beruby hemos trabajado con Internet Security Auditors cuando tuvimos que realizar de forma urgente un Attestation of Compliance de PCI DSS. Todo el proceso fue extremadamente rápido, eficiente y profesional. Su equipo nos brindó un soporte excelente, demostrando gran conocimiento técnico y compromiso. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

Miguel Acosta
Global CEO · Beruby

En Grupo AR, valoramos altamente el servicio de protección de marca de Internet Security Auditors por tener un enfoque integral y proactivo. Su equipo de trabajo, altamente calificado, nos permite identificar y mitigar aquellos riesgos que pueden afectar la marca de AR Construcciones y sus diferentes empresas.

Nestor Ivan Melo Ballen
Director de Ciberseguridad · Grupo AR

FAQ

Preguntas frecuentes

¿Qué plataformas móviles auditáis?

Auditamos aplicaciones para iOS y Android, tanto nativas como híbridas y multiplataforma (React Native, Flutter, Xamarin, etc.). Nuestro equipo tiene experiencia con todo tipo de tecnologías móviles.

¿Se revisa el código fuente de la aplicación?

La auditoría de aplicación móvil sigue una metodología de caja negra: no se audita el código fuente. Se simula la actuación de un atacante real. Si necesitas una revisión del código fuente, ofrecemos el servicio de Code Review como servicio complementario.

¿Necesitáis un dispositivo físico o se puede auditar en emulador?

Preferiblemente utilizamos dispositivos físicos para las pruebas, ya que algunos controles de seguridad (biometría, certificate pinning, Secure Enclave) no se pueden evaluar completamente en emuladores. No obstante, parte de las pruebas pueden realizarse en emuladores si es necesario.

¿Qué metodología seguís?

Nuestra metodología se basa en OWASP MASTG (Mobile Application Security Testing Guide) y MASVS (Mobile Application Security Verification Standard), complementada con técnicas y herramientas propias. Cubrimos todas las categorías de seguridad móvil definidas por OWASP.

¿Se pueden auditar aplicaciones que no están publicadas en las stores?

Sí. Podemos auditar aplicaciones distribuidas internamente, en fase de preproducción o que se distribuyen mediante MDM. Solo necesitamos el fichero de la aplicación (APK/IPA) o acceso al entorno de pruebas.

Contacto

¿Necesitas auditar la seguridad de tu aplicación móvil?

Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.

Oficinas
Barcelona, Madrid, Bogotá
R
Ricardo Andrés Cárdenas
Hace 2 meses

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a ISO/IEC 27001:2022 y el proceso de certificación PCI DSS ha sido fundamental para fortalecer nuestro SGSI.

A
Andrés Mejía
Hace 3 meses

Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

V
Victoria Villarreal Palazón
Hace 4 meses

Han sido nuestro socio indispensable para la implementación de los requisitos de RGPD. Destacaría su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles.

M
Miguel Acosta
Hace 5 meses

Todo el proceso de Attestation of Compliance de PCI DSS fue extremadamente rápido, eficiente y profesional. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

S
Sergio Sainz de la Maza
Hace 6 meses

Llevamos más de 10 años trabajando con Internet Security Auditors por su experiencia, compromiso y cercanía. Los recomiendo sin dudarlo.

Solicitar información

Nos pondremos en contacto contigo lo antes posible.
Presencia Global

Nuestras oficinas

Barcelona

C. Santander, 101. Edificio A-2
E-08030 Barcelona (España)

+34 93 305 13 18
Madrid

C. Arequipa, 1
E-28043 Madrid (España)

+34 91 763 40 47
Bogotá

Transversal 22 # 98-82, Ed. Porta 100 Of. 1003
110221 Bogotá (Colombia)

+57 601 638 68 88
25
años de experiencia en ciberseguridad
Contacta con nosotros