Pentest Mobile Android e iOS
Pentest mobile é o teste de invasão de aplicativos Android e iOS conduzido pela metodologia OWASP MASVS/MASTG, que avalia armazenamento de dados, comunicação de rede, criptografia, autenticação e resistência a engenharia reversa e tampering para provar, com evidências, o que um atacante extrairia ou manipularia no seu app.
O que é um pentest mobile?
O pentest mobile é o teste de invasão de um aplicativo móvel — Android ou iOS — sob a ótica de um atacante real, cobrindo o código do app, os dados que ele guarda no dispositivo, a comunicação com o backend e os controles de segurança embarcados. Diferente de um pentest web tradicional, o pentest de aplicativo precisa lidar com o binário instalado no aparelho, com o sistema operacional móvel e com a possibilidade de o dispositivo estar comprometido (root ou jailbreak).
A Berghem segue o OWASP MASVS (Mobile Application Security Verification Standard) e o guia de testes OWASP MASTG, combinando análise estática do binário, engenharia reversa, instrumentação dinâmica em tempo de execução e testes na API que o app consome. O resultado é um mapa concreto do que um atacante alcançaria — do dado sensível esquecido em disco à autenticação que pode ser burlada — com prova de conceito, evidência e recomendação priorizada por impacto.
Para instituições reguladas, o escopo mobile também precisa atender às exigências setoriais — incluindo as resoluções do BACEN/CMN sobre segurança cibernética. Aplicativos que processam pagamentos exigem controles adicionais, e estruturamos o teste para gerar evidências úteis ao seu processo de conformidade.
O que está incluso
O que testamos em um pentest mobile?
Seguimos as categorias de verificação do OWASP MASVS. Cada domínio abaixo é analisado estática e dinamicamente, validado manualmente e encadeado em cenários de ataque que demonstram o impacto real — nunca apenas o achado isolado de uma ferramenta.
Armazenamento inseguro de dados
O dado que fica no aparelho é o primeiro alvo. Verificamos bancos SQLite, SharedPreferences, plists, arquivos de cache, logs e a Keychain/Keystore em busca de credenciais, tokens, dados pessoais e informações sensíveis gravados sem proteção. Avaliamos também backups, capturas de tela em segundo plano e vazamento por teclado e área de transferência.
Comunicação de rede
Interceptamos o tráfego entre o app e o backend para avaliar uso de TLS, validação de certificados e a robustez do SSL pinning. Testamos se o pinning pode ser contornado, se há endpoints em texto claro, downgrade de protocolo e exposição de dados em trânsito — o vetor clássico de man-in-the-middle contra aplicativos móveis.
Criptografia e gestão de chaves
Analisamos os algoritmos, modos e bibliotecas de criptografia usados pelo app, buscando implementações fracas, chaves e IVs embutidos no código, geração de aleatoriedade previsível e armazenamento inadequado de material criptográfico. Verificamos se dados sensíveis são de fato cifrados e se a Keystore/Keychain é usada corretamente.
Autenticação, sessão e biometria
Testamos os fluxos de login, tokens, expiração de sessão, logout e a lógica de autenticação local — incluindo PIN e biometria. Avaliamos se a autenticação pode ser burlada com o app modificado, se a validação ocorre no servidor e não apenas no cliente, e se sessões podem ser reutilizadas ou fixadas.
Interação com a plataforma e IPC
Cada plataforma expõe superfícies próprias. Testamos Activities, Services, Broadcast Receivers e Content Providers exportados no Android, esquemas de URL e universal links no iOS, WebViews, deep links e a comunicação entre processos. Buscamos componentes expostos que permitem contornar controles ou injetar dados.
Resiliência, reversão e tampering
Aplicamos engenharia reversa ao binário para avaliar ofuscação, segredos embutidos e a resistência do app à manipulação. Testamos a detecção de root/jailbreak, anti-hooking e anti-debug, e o quanto esses controles resistem a instrumentação com Frida e a repacking do aplicativo modificado.
Cobertura por plataforma
Android e iOS têm modelos de segurança, formatos de binário e superfícies de ataque distintos. Adaptamos a metodologia às particularidades de cada sistema, com dispositivos de teste reais e emulados.
Pentest Android
Teste de invasão de aplicativos Android partindo do APK/AAB: descompilação com jadx e apktool, análise de AndroidManifest e componentes exportados, inspeção de armazenamento, instrumentação dinâmica com Frida e bypass de detecção de root e SSL pinning. Avaliamos apps em Java/Kotlin e código nativo.
Pentest iOS
Avaliação de aplicativos iOS a partir do IPA: análise do binário e de classes Objective-C/Swift, inspeção da Keychain e do armazenamento local, esquemas de URL e universal links, e instrumentação em dispositivo com jailbreak. Testamos proteção de dados, biometria (Face ID/Touch ID) e resistência a tampering.
Como conduzimos o teste?
Trabalhamos com regras de engajamento acordadas e um canal seguro com o cliente do início ao fim. O teste combina análise estática do binário, testes dinâmicos em dispositivo e avaliação da API que o app consome, alinhado ao OWASP MASTG.
Escopo e preparação
Definimos as plataformas e versões em escopo, o nível MASVS-alvo, credenciais de teste, ambientes e limites. Recebemos os binários (APK/IPA) e, quando aplicável, o acesso ao backend, e combinamos os objetivos e o modelo do exercício.
Análise estática e reversão
Descompilamos e analisamos o binário em busca de segredos embutidos, endpoints, lógica de autenticação, uso de criptografia e componentes expostos. Mapeamos a superfície de ataque do app antes de partir para a exploração dinâmica.
Análise dinâmica e exploração
Executamos o app em dispositivo instrumentado, interceptamos o tráfego, contornamos controles de segurança quando possível e exploramos falhas de armazenamento, autenticação, rede e IPC — encadeando os achados em cenários de ataque completos e preservando a estabilidade do ambiente.
Relatório e remediação
Entregamos cada achado com prova de conceito, evidência, classificação de severidade e recomendação de correção priorizada por impacto, mapeada ao MASVS. Fazemos a apresentação técnica e oferecemos reteste para validar as correções aplicadas.
Serviços relacionados
O pentest de aplicativo costuma andar junto do teste da API que ele consome e de outras frentes de segurança ofensiva e desenvolvimento seguro.
Pentest de API
Todo app mobile conversa com um backend. Testamos autenticação, autorização e lógica de negócio das APIs REST e GraphQL que sustentam o aplicativo.
Pentest Cloud
O backend do app normalmente roda em nuvem. Avaliamos IAM, exposição de storage e misconfigurations em AWS, Azure e GCP.
DevSecOps
Integração de segurança ao pipeline de build mobile — SAST, análise de dependências e testes automatizados que corrigem na origem as falhas do app.
Offensive Security
Visão geral do pilar de segurança ofensiva da Berghem: pentest, Red Team e simulação de adversários.
Perguntas frequentes sobre pentest mobile
O que é um pentest mobile?
Qual a diferença entre pentest mobile e pentest web?
O que é o OWASP MASVS e por que vocês o seguem?
Vocês precisam do código-fonte do aplicativo?
O pentest mobile inclui o teste da API do app?
Pronto para testar seu aplicativo?
Em uma conversa de 30 minutos mapeamos seu app Android ou iOS e desenhamos o escopo ideal do pentest mobile.
Fale com um especialista