Il penetration testing delle applicazioni mobile è una valutazione di sicurezza manuale in cui tester certificati analizzano le tue app iOS e Android - e le API di backend con cui comunicano - alla ricerca di vulnerabilità come archiviazione dei dati non sicura, crittografia di trasporto debole e autenticazione non funzionante. CyberXplore effettua i test rispetto allo standard OWASP MASVS utilizzando la metodologia MASTG, combinando analisi statica, strumentazione runtime su dispositivi con jailbreak e root e reverse engineering pratico per far emergere problemi che gli scanner automatici non possono rilevare. Ogni engagement è guidato da senior e manuale, e include indicazioni di remediation prioritizzate, un retest gratuito e una lettera di attestazione per clienti e auditor.
OWASP MASVSOWASP MASTGOWASP API Security Top 10NISTPTES
Perché CyberXplore
Solo tester senior (OSCP, CRTP, CREST)
Certificazione ISO 27001 & ISO 9001
Retest gratuito + lettera di attestazione
Scope e preventivo su misura in 24 ore
Perché è importante
Le app mobile girano su dispositivi che non controlli: chiunque può decompilare il tuo APK o IPA, ispezionare lo storage locale e intercettare il traffico, esponendo rapidamente segreti e controlli deboli.
L'archiviazione dei dati non sicura è la falla mobile più comune: credenziali, token e PII lasciati in chiaro in database, shared preferences, keychain o log sono banali da recuperare su un dispositivo con root o jailbreak.
L'API di backend è la vera superficie di attacco: autorizzazioni non funzionanti e IDOR dietro un front end mobile permettono agli attaccanti di raggiungere i dati di altri utenti una volta bypassati i controlli lato client.
App store, SOC 2, PCI DSS e le verifiche di sicurezza dei clienti richiedono sempre più spesso evidenze indipendenti di test mobile prima dell'approvazione o dell'onboarding.
Allineato agli standard di settore: OWASP MASVS · OWASP MASTG · OWASP API Security Top 10 · NIST · PTES
La nostra metodologia
01
Scoping e Threat Modeling
Concordiamo le piattaforme (iOS, Android o entrambe), i tipi di build, i ruoli utente e gli account di test, poi mappiamo i flussi di dati, le funzionalità sensibili e le API di backend da cui dipende l'app.
02
Analisi Statica e Reverse Engineering
Decompiliamo l'IPA/APK, esaminiamo il sorgente o il bytecode, ispezioniamo il manifest, le entitlement e i segreti hardcoded, e analizziamo come l'app archivia i dati e protegge la propria logica.
03
Test Dinamici e Runtime
Su dispositivi con jailbreak e root strumentiamo l'app con Frida e Objection, intercettiamo il traffico TLS, bypassiamo le difese di jailbreak/root e certificate pinning e osserviamo il comportamento reale in runtime.
04
Test delle API di Backend
Testiamo le API lato server utilizzate dall'app per autenticazione non funzionante, autorizzazione e IDOR, injection e abuso della business logic - dove i controlli lato client sono privi di significato.
05
Reportistica
Ricevi un report chiaro mappato su OWASP MASVS, con valutazioni di gravità, evidenze, passi di riproduzione e indicazioni di remediation pronte per gli sviluppatori, sia per l'app sia per il backend.
06
Supporto alla Remediation e Retest
Supportiamo i tuoi sviluppatori nelle correzioni e ripetiamo il test di ogni vulnerabilità per confermarne la risoluzione - incluso gratuitamente, con lettera di attestazione al completamento.
Cosa testiamo
Archiviazione locale dei dati non sicura (database, shared preferences, plist, keychain, cache, log)
Comunicazione non sicura e TLS (cifrari deboli, certificate pinning assente o bypassabile)
Autenticazione, gestione delle sessioni e archiviazione dei token
Autorizzazione delle API di backend, IDOR e falle di business logic
Reverse engineering, manomissione del codice e controlli di resilienza
Rilevamento jailbreak/root e difese contro la strumentazione runtime
Uso improprio della piattaforma (IPC non sicuro, componenti esportati, deep link, WebView, clipboard)
Segreti hardcoded, chiavi API e dati sensibili nel binario
Comunicazione tra app e fuga di dati tramite backup e screenshot
Cosa ottieni
Sintesi esecutiva per il management e gli stakeholder
Risultati tecnici dettagliati mappati su OWASP MASVS con gravità CVSS ed evidenze
Riproduzione passo dopo passo di ogni vulnerabilità, sia sull'app sia sul backend
Indicazioni di remediation prioritizzate e pronte per gli sviluppatori per iOS e Android
Retest gratuito con lettera di verifica della remediation
Lettera di attestazione per clienti, app store, auditor e compliance
Esempio di deliverable
Cosa vedrai nel tuo report
Ogni engagement si conclude con un report chiaro e prioritizzato: finding classificati per severità con punteggi CVSS, asset coinvolti e stato di remediation - più un retest gratuito. I dati riportati di seguito sono illustrativi.
Finding per severità
24 total
Critical
0
High
5
Medium
11
Low
8
High · CVSS 7.5CX-302
Sensitive data stored in plaintext (SharedPreferences)
CWE-312com.example.app (Android)Open
High · CVSS 7.4CX-307
Hardcoded API key / secret in app binary
CWE-798com.example.appFixed
Esempio illustrativo: mobile application penetration test - anonimizzato su example.com.
Medium · CVSS 6.5CX-313
Missing TLS certificate pinning
CWE-295com.example.appOpen
Vuoi il report di esempio anonimizzato completo? Lo includeremo nel tuo preventivo.
Dati cumulativi sull'insieme degli incarichi svolti dal nostro team
Condiviso sotto NDA · dettagli anonimizzati
“CyberXplore found critical issues three previous vendors missed. The report was the clearest we've ever received - our engineers fixed everything in a week, and the free retest confirmed every fix held.”
23 critical findings surfaced
HS
Head of Security
European SaaS platform · Series C · 450 employees
B2B SaaS
Condiviso sotto NDA · dettagli anonimizzati
“Senior testers, fast turnaround, and a free retest that actually proved our fixes worked. They made our SOC 2 audit painless.”
SOC 2 passed first attempt
VE
VP of Engineering
Series B FinTech · Payments platform
FinTech
Certificazioni dei nostri tester
OSCP
CRTP
CREST
CEH
eWPTX
ISO 27001
ISO 9001
Domande frequenti
Sì. Testiamo app native iOS e Android, oltre a framework cross-platform come React Native, Flutter e Xamarin. Possiamo valutare una singola piattaforma o entrambe in un unico engagement, poiché ognuna ha il proprio modello di storage, IPC e firma.
