8 800 350-62-21

sales@in4security.com

Оставить заявку

Пентест мобильных приложений

Комплексная оценка безопасности приложений для iOS и Android, включающая анализ клиентской части, серверного API и каналов передачи данных.

  • Находим уязвимости и подтверждаем их эксплуатацией в контролируемых условиях
  • Фиксируем доказательства и объясняем влияние уязвимостей на бизнес
  • Проводим ретест по договорённости
Получить консультацию Запросить оценку объема и сроков
Сертифицированные сотрудники
со стажем более 8 лет
Опыт работы в различных отраслях
крупных компаний
Наши специалисты
входят в топ-10 пентестеров России

Что такое пентест мобильных приложений и когда он нужен

Пентест мобильных приложений (Mobile App Pentest) — это комплексная проверка безопасности клиентской части (iOS и Android), серверного API и каналов передачи данных. Мы имитируем действия злоумышленника, который пытается похитить персональные данные, взломать аккаунты или вмешаться в финансовые транзакции. Анализ проводится по международному стандарту OWASP Mobile Top 10, что гарантирует проверку всех критических зон: от локального хранилища на телефоне до серверной бизнес-логики.

Кому необходим пентест мобильных приложений

  • Финтех-сервисам и банкам
    для защиты транзакций, электронных кошельков и данных клиентов
  • E-commerce и ритейлу
    интернет-магазинам, хранящим данные банковских карт и историю заказов в личных кабинетах
  • Медицинским сервисам
    приложениям для записи к врачам и телемедицины, работающим с конфиденциальными данными о здоровье
  • Корпоративным мессенджерам и таск-трекерам
    компаниям, чьи сотрудники обмениваются через мобильное ПО коммерческой тайной и внутренними документами
  • Разработчикам мобильных игр
    для защиты внутриигровой валюты от взлома и предотвращения использования читов, нарушающих экономику игры
  • Сервисам с платной подпиской
    чтобы исключить возможность обхода систем авторизации и бесплатного доступа к премиум-контенту

Комплекс работ по пентесту мобильных приложений

Анализ способа хранения конфиденциальной информации на устройстве
Мы имитируем сценарий, при котором злоумышленник получает физический доступ к устройству или использует вредоносное ПО для кражи файлов приложения. Что мы проверяем в ходе аудита:
  • Анализ файловой системы: Поиск забытых паролей, токенов сессий и персональных данных в системных папках, логах (logcat/syslog) и временных файлах (cache).
  • Проверка баз данных (SQLite): Изучение локальных баз данных на предмет отсутствия шифрования. Мы проверяем, можно ли прочитать историю операций или личную переписку обычным просмотрщиком файлов.
  • Безопасность хранилищ (Keychain/Keystore): Проверка корректности использования системных хранилищь iOS и Android. Мы проверяем, защищены ли ключи шифрования, токены и биометрические данные от доступа со стороны других приложений или при утере устройства.
  • Защита от root/jailbreak: проверяем, прекращает ли приложение работу или очищает ли данные, если обнаружена взломанная прошивка.
  • Конфиденциальность в Shared Preferences/Plist: Аудит XML-файлов настроек, где разработчики часто оставляют критическую информацию в открытом виде.
  • Снимки экрана и буфер обмена: Проверка, не утекают ли данные через системные скриншоты в диспетчере задач или через копирование конфиденциальной информации в буфер обмена.
Результат: исключение утечки данных при потере устройства или компрометации ОС. Мы предоставляем рекомендации по внедрению надежного шифрования и правильной работе с защищенными хранилищами ОС в соответствии с лучшими практиками платформ iOS и Android.
Анализ механизма взаимодействия с серверной частью
Мы проверяем безопасность канала передачи данных между мобильным устройством и сервером. Злоумышленник в общественной сети (Wi-Fi) может попытаться перехватить или подменить трафик. Что мы проверяем:
  • SSL/TLS конфигурация: оценка корректности настроек шифрования и стойкости используемых протоколов.
  • SSL Pinning: проверка наличия и правильности реализации механизма привязки сертификата, чтобы исключить возможность подмены сервера при атаке MitM.
  • Безопасность API: Анализ защищенности серверных методов, которые вызываются из приложения, от несанкционированного доступа и утечек данных.
  • Динамический анализ: Вмешательство в работу приложения для выполнения произвольного кода и обхода защит (root/jailbreak).
Результат: мы гарантируем, что ваше приложение не отдаст данные злоумышленнику даже при работе в недоверенной сети.
Проверка наличия защиты от обратной разработки (Reverse Engineering)
Мы моделируем действия злоумышленника, который скачал установочный файл вашего приложения (.apk или .ipa) и пытается изучить его внутреннее устройство. Что мы проверяем:
  • Анализ возможности восстановить исходный или читаемый код приложения стандартными инструментами.
  • Проверка, не оставили ли разработчики пароли, API-ключи или токены доступа в теле приложения в открытом или обфусцированном, но легко восстанавливаемом виде.
  • Оценка механизмов, предотвращающих подмену кода или ресурсов приложения.
Результат: защита интеллектуальной собственности и предотвращение создания фальшивых версий приложения.
Ручная проверка по методологии OWASP Mobile Top 10
Основная часть пентеста - глубокая ручная проверка, базирующаяся на актуальном стандарте безопасности мобильных приложений OWASP Mobile Top 10. Наши эксперты моделируют атаки, направленные на:
  • Аутентификацию и авторизацию: можно ли войти в чужой аккаунт или выполнить действия от имени администратора?
  • Небезопасную передачу данных: утекает ли информация в открытом виде?
  • Хранение данных: надежно ли защищены пароли и персональные данные на устройстве?
  • Криптографию: используются ли стойкие алгоритмы и правильно ли они реализованы?
  • Сторонние компоненты: есть ли уязвимости в используемых библиотеках и SDK?
Результат: релевантный список угроз именно для вашего приложения.
Проверка бизнес-логики и критических операций
Для приложений, обрабатывающих платежи или персональные данные, мы проводим углубленный анализ бизнес-логики:
  • Компрометация платежей: можно ли изменить сумму платежа, получателя или выполнить операцию без подтверждения?
  • Обход подтверждений: возможно ли совершить действие без ввода OTP/Push-кода?
  • Повторное воспроизведение: можно ли отправить перехваченный запрос повторно, чтобы дважды списать деньги?
  • Массовые операции: есть ли возможность выполнить ограниченное действие (например, бонус) множество раз?
  • Хищение средств: можно ли вывести деньги или бонусы другого пользователя?
Результат: защита финансовых потерь и репутационных рисков, связанных с мошенничеством.
Анализ способа хранения конфиденциальной информации на устройстве
Для приложений, обрабатывающих платежи или персональные данные, мы проводим углубленный анализ бизнес-логики:
  • Компрометация платежей: можно ли изменить сумму платежа, получателя или выполнить операцию без подтверждения?
  • Обход подтверждений: возможно ли совершить действие без ввода OTP/Push-кода?
  • Повторное воспроизведение: можно ли отправить перехваченный запрос повторно, чтобы дважды списать деньги?
  • Массовые операции: есть ли возможность выполнить ограниченное действие (например, бонус) множество раз?
  • Хищение средств: можно ли вывести деньги или бонусы другого пользователя?
Результат: защита финансовых потерь и репутационных рисков, связанных с мошенничеством.
Поиск раскрытия внутренней информации
Мы проверяем, отдает ли приложение наружу технические детали, которые помогут хакеру подготовить атаку:
  • Отладочная информация в логах
  • Внутренние пути к серверным каталогам и структура БД.
  • Версии используемых библиотек и фреймворков с известными уязвимостями.
Результат: минимизация информации, доступной для разведки злоумышленника.
Подготовка отчета по результатам тестирования
Continuous Penetration Testing
Пентест внешнего периметра
Пентест внутреннего периметра
Пентест сайта и веб-приложений
Пентест мобильных приложений
Анализ исходного кода
Пентест сетей Wi-Fi
Социотехнический пентест

Узнайте реальную степень защищенности своего периметра — закажите пентест мобильного приложения

Нажимая на кнопку, вы даете согласие на обработку персональных данных и соглашаетесь c политикой конфиденциальности. Не является публичной офертой.

Специалисты Infosecurity входят в топ-10 пентестеров России

Команда сертифицированных пентестеров с экспертизой в разных отраслях.
Пентестинг: полная проверка безопасности.

Для оценки защищенности
специалисты Infosecurity также рекомендуют

Пен тест - купить проверку на уязвимости.
Киберчекап
Быстрая и комплексная диагностика критичных областей компании: от людей и технологий до управленческих процессов. Получите понятный план развития ИБ и правильно расставленные приоритеты.
Подробнее
Харденинг
Повышаем киберустойчивость и кибербезопасность ИТ-инфраструктуры организации с помощью встроенных механизмов защиты.
Подробнее

FAQ