Pular para o conteúdo
Acione nossa equipe de profissionais

Seu app está na mão do atacante, não no seu servidor

Um aplicativo roda no celular de qualquer pessoa, inclusive de quem quer quebrá-lo. Testamos o que o app guarda no aparelho, como ele conversa com o back-end e se as proteções resistem a alguém com o telefone na mão.

Fale com nosso timeFalar com um especialista
Execução
1 a 2 semanas
Plataformas
Android e iOS
Reteste
Incluso

O que está incluso

  • Teste do app Android (APK) e iOS (IPA)
  • Armazenamento local e dados em cache
  • Comunicação com as APIs e o back-end
  • Autenticação, sessão e uso de biometria
  • Proteções: root/jailbreak, debug e ofuscação
  • Relatório alinhado ao OWASP MASVS, com reteste

O teste em detalhe

Quem cuida da segurança e quem aprova o orçamento procuram coisas diferentes. Escolha a sua leitura.

No aparelho
O que o app grava no dispositivo: credenciais, tokens, dados pessoais em arquivos, bancos locais ou logs, incluindo em aparelho com root ou jailbreak.
Em trânsito
A comunicação com o back-end: certificate pinning, dados sensíveis na requisição e possibilidade de interceptar o tráfego.
As APIs por trás
O app é só o cliente. Testamos as APIs que ele consome, onde costumam estar as falhas de autorização mais sérias.
Proteções do app
Resistência a engenharia reversa, detecção de root/jailbreak, anti-debug e ofuscação do código.

Por que testar o app

Guia completo: Pentest: o que é, como funciona e quanto custa

O app roda em território hostil

Diferente de um servidor, o aplicativo está no aparelho de quem quiser atacá-lo, com tempo e ferramentas para abrir, alterar e observar tudo que ele faz.

O que o app guarda, alguém acha

Token salvo em texto, chave embutida no código, dado pessoal em um banco local sem proteção. Em um celular com root, isso fica ao alcance.

A falha grave costuma estar na API

O app é a vitrine; a API é o cofre. Boa parte dos incidentes em mobile vem de uma API que confia demais no aplicativo e não checa a autorização.

A loja exige, o cliente confia

App de banco, de saúde ou de pagamento carrega a confiança do usuário e a exigência das lojas. Uma falha ali custa caro em multa e em reputação.

O que você recebe

Relatório técnico
Cada falha com evidência, o ponto no app ou na API, severidade (CVSS) e a correção, mapeada no OWASP MASVS.
Cobertura MASVS
O que foi testado e encontrado em cada área do padrão de segurança mobile da OWASP.
Relatório executivo
O risco do seu app em linguagem de negócio, com o que corrigir antes da próxima publicação.
Reteste e encerramento
Depois das correções, testamos de novo os mesmos pontos e emitimos o documento com o status final.

Um exemplo do que encontramos em um app

Achados típicos de um pentest mobile, do aparelho à API por trás.

Relatório de pentest mobile5 achados
  1. #01

    Token de sessão em texto no dispositivo

    Credencial salva sem proteção pode ser lida em um aparelho com root e usada para assumir a conta.

    Crítico
  2. #02

    API aceita trocar o ID do usuário

    Alterando um campo na requisição, um usuário acessa os dados de outro (falha de autorização).

    Crítico
  3. #03

    Sem certificate pinning

    Dá para interceptar e ler o tráfego do app entre o celular e o servidor.

    Alto
  4. #04

    Chave de API embutida no código

    Credencial de um serviço de terceiros extraída da engenharia reversa do aplicativo.

    Alto
  5. #05

    App roda em aparelho com root sem alerta

    Nenhuma detecção de root ou jailbreak, o que facilita a manipulação do app.

    Médio

Reteste: 5 de 5 corrigidos

Exemplo com dados fictícios. O relatório real traz evidência, passos para reproduzir e recomendação de correção para cada achado.

Para quem é

  • Fintechs e apps de banco ou pagamento
  • Apps de saúde que lidam com dado sensível
  • Produtos com base grande de usuários no celular
  • Quem vai publicar uma versão nova e quer testar antes
  • Empresas em auditoria de LGPD ou PCI DSS

Etapas

  1. 1

    Escopo

    Recebemos o app (APK e IPA) e os usuários de teste, e definimos as plataformas. Contrato e NDA antes de começar.

  2. 2

    Análise

    Análise estática do código e dinâmica com o app rodando em aparelho real e emulador.

  3. 3

    Exploração

    Armazenamento, comunicação, autenticação e APIs, cada achado confirmado com evidência.

  4. 4

    Relatórios e reteste

    Entrega dos relatórios, reunião para tirar dúvidas e reteste depois que a sua equipe corrige.

Outros tipos de pentest

Dúvidas sobre o pentest mobile

Se a sua dúvida não estiver aqui, pergunte direto para a equipe.

Enviar uma pergunta
Vocês testam Android e iOS?

Sim, os dois. Dá para fazer só uma plataforma ou as duas. Como boa parte da lógica está na API compartilhada, testar as duas em conjunto costuma sair mais eficiente.

Precisamos entregar o código-fonte?

Não é obrigatório. Trabalhamos a partir do app publicado (APK e IPA). Com o código, a cobertura aumenta no mesmo tempo, então recomendamos quando possível.

O teste do app inclui a API?

Sim. A comunicação com o back-end e as APIs que o app consome entram no escopo, porque é onde costumam estar as falhas de autorização mais graves.

Que padrão vocês seguem?

O OWASP MASVS (Mobile Application Security Verification Standard) e o guia de testes MASTG, referências de mercado para segurança de aplicativos.

Precisa de um aparelho específico?

Nós usamos os nossos, com root e jailbreak, além de emuladores. Você não precisa providenciar nada além do app e dos acessos de teste.

Artigos relacionados

Pentest

O que é Pentest e por que sua empresa precisa de um?

Entenda como funciona um teste de invasão, o que ele avalia e por que esperar um incidente para agir pode custar milhões à sua organização.

Pentest

As 10 vulnerabilidades mais encontradas em pentests no Brasil

Um panorama das falhas que mais aparecem em testes de invasão reais e o que sua equipe pode fazer para corrigi-las antes do próximo teste.

Compliance

LGPD e Pentest: sua empresa está em conformidade?

A LGPD exige medidas técnicas de proteção de dados. Entenda como pentests e monitoramento de vazamentos ajudam a demonstrar diligência e evitar sanções.

Peça um pentest mobile

Conte sobre o seu app e as plataformas. Em até 24h úteis você recebe escopo, prazo e preço fechados.

Fale com nosso time

Prefere conversar antes? Agende uma reunião ou escreva para info@xpsecsecurity.io.