Mobiele App Pentest
Handmatig testen van uw iOS- en Android-apps en de API's erachter door OSCP-gecertificeerde testers, in lijn met OWASP MASVS v2 en de MASTG.
Een mobiele app brengt uw authenticatielogica, uw sessietokens en vaak de gevoeligste gegevens van uw klanten naar een apparaat dat u niet beheert. Aanvallers hoeven dat apparaat niet te compromitteren; zij installeren uw app op een gejailbreakte telefoon, haken erin met een instrumentatieframework, lezen wat de app opslaat, schakelen certificate pinning uit en praten rechtstreeks met uw backend. Geautomatiseerde mobiele scanners vinden hardcoded strings en permissievlaggen. Zij vinden niet de autorisatieomzeiling in de API die de app aanroept, of het token dat een uitlogactie overleeft. Onze mobiele app pentests vinden dat wel, met een rapport dat zowel uw mobile- als uw backendteam aanspreekt.
Wat is een mobiele app pentest?
Een mobiele app pentest is een handmatig beveiligingsonderzoek van een native, hybride of cross-platform app (Swift, Kotlin, React Native, Flutter) en van de backenddiensten waarvan die afhankelijk is. Wij testen de app op echte iOS- en Android-toestellen met en zonder jailbreak of root, decompileren en analyseren de binary, instrumenteren haar tijdens runtime, bekijken wat zij opslaat in de Keychain, de Keystore, databases en caches, onderscheppen en manipuleren haar verkeer, misbruiken deep links en interprocescommunicatie, en vallen vervolgens met die kennis de API aan. De dekking volgt de OWASP Mobile Application Security Verification Standard (MASVS v2) en de Mobile Application Security Testing Guide (MASTG), zodat elke controlegroep, van MASVS-STORAGE tot MASVS-RESILIENCE, wordt getest en gerapporteerd.
Belangrijkste Capaciteiten
Lokale opslag en secrets
Gebruik van Keychain en Keystore, databases, caches, logs, back-ups, klembord en schermafbeeldingen: wat de app op het toestel achterlaat en hoe goed dat is beschermd (MASVS-STORAGE, MASVS-CRYPTO).
Netwerkbeveiliging en certificate pinning
TLS-configuratie, certificate pinning en de omzeiling ervan, proxydetectie en de onversleutelde of te goedgelovige kanalen waarmee een aanvaller verkeer leest of wijzigt (MASVS-NETWORK).
Authenticatie, sessies en biometrie
Inlogflows, levensduur en intrekking van tokens, biometrische prompts die lokaal te omzeilen zijn, pincode- en step-uplogica, en offline authenticatiestatussen (MASVS-AUTH).
Deep links, IPC en platforminteractie
Universal links, eigen URL-schema's, intents, content providers, WebViews en klembordverwerking waarmee een andere app of een geprepareerde link uw app aanstuurt (MASVS-PLATFORM).
Reverse engineering en weerbaarheid
Decompilatie, hardcoded secrets, kwaliteit van obfuscatie, jailbreak- en rootdetectie, anti-debugging, anti-tampering en runtime hooking (MASVS-CODE, MASVS-RESILIENCE).
Dekking van de backend-API
Elk endpoint dat de app aanroept, getest per rol en per gebruiker: autorisatie op objectniveau, bedrijfslogica, rate limiting en het vertrouwen dat de server stelt in controles aan de clientzijde.
Voor wie is een mobiele app pentest?
Banken, betaalinstellingen en fintechs waarvan de apps onder de sterke cliëntauthenticatie van PSD2 en de testeisen van DORA vallen; zorgaanbieders en e-healthleveranciers die patiëntgegevens verwerken onder NEN 7510:2024 en de AVG; retailers, verzekeraars, nutsbedrijven en SaaS-leveranciers voor wie de app een primair klantkanaal is; en organisaties die interne apps via MDM uitrollen. Bevat uw app een sessie, een betaalcredential of een medisch dossier, dan ligt die in handen van een aanvaller op het moment dat u uitlevert.
Hoe een mobiele app pentest verloopt
Scoping en aanlevering van builds
We spreken platforms, appversies, MASVS-niveau (L1 of L2 plus weerbaarheid), testaccounts per rol, backendscope en uitsluitingen af, en ontvangen debug- of releasebuilds via een beveiligd kanaal.
Statische analyse en reverse engineering
De IPA en de APK of AAB worden gedecompileerd en beoordeeld op secrets, onveilige opslagaanroepen, geëxporteerde componenten, SDK's van derden en zwakke cryptografie.
Dynamische instrumentatie op echte toestellen
De app draait op gejailbreakte en gerootte testtoestellen en op schone exemplaren; wij haken tijdens runtime in, omzeilen pinning en detectiecontroles en volgen wat de app met gegevens doet.
Opslag-, crypto- en authenticatietesten
Keychain, Keystore, databases, caches en back-ups worden onderzocht; tokenverwerking, biometrische flows en sessielogica worden lokaal en tegen de backend aangevallen.
Aanval op de backend-API
Met het volledige beeld van de client testen wij de API per rol en tenant op autorisatie-, bedrijfslogica- en injectieproblemen die de app zelf verbergt.
Rapport, debrief en hertest
Bevindingen gekoppeld aan MASVS-controles en uw compliancekader, met bewijs en herstelrichtlijnen voor beide teams, een debrief en een hertest na de fixes.
Hoe Wij Werken
Handmatig testen door OSCP-gecertificeerde testers, onder leiding van Michael van Mameren, op fysieke iOS- en Android-toestellen in plaats van alleen emulators, met de MASTG-testcases als dekkingsbasis en instrumentatieframeworks voor runtime-analyse. Wij spreken rules of engagement af voordat het eerste verzoek uw backend bereikt, escaleren kritieke bevindingen dezelfde dag en reproduceren elke bevinding met bewijs. Bevindingen worden gekoppeld aan de MASVS v2-controles en aan het kader waarover u rapporteert, of dat nu PSD2 en DORA, NEN 7510, ISO 27001 of PCI DSS is, en uitgelegd in de termen die uw mobile- en backendengineers gebruiken.
Wat U Ontvangt
Veelgestelde vragen over mobiele app pentesten
De vragen die product- en securityverantwoordelijken ons het vaakst stellen voordat ze een mobiele app laten testen, eerlijk beantwoord.
Wat is een mobiele app pentest?
Een mobiele app pentest is een handmatig beveiligingsonderzoek van een iOS- of Android-app en de backend-API's die zij gebruikt, uitgevoerd op echte toestellen vanuit de positie van een aanvaller. Het onderzoek dekt lokale gegevensopslag, cryptografie, authenticatie, netwerkbeveiliging, platforminteractie, codekwaliteit en weerbaarheid tegen reverse engineering, volgens de OWASP MASVS v2 en MASTG. Het resultaat is een lijst uitbuitbare bevindingen met bewijs, geen scan van permissievlaggen.
Wat zijn OWASP MASVS en MASTG en waarom zijn ze belangrijk?
MASVS v2 is de OWASP Mobile Application Security Verification Standard: acht controlegroepen (STORAGE, CRYPTO, AUTH, NETWORK, PLATFORM, CODE, RESILIENCE, PRIVACY) die vastleggen wat een veilige mobiele app moet doen. De MASTG is de bijbehorende testgids met de testcases die elke controle verifiëren. Wij gebruiken ze als dekkingsbasis, zodat u een auditor of klant precies kunt laten zien welke controles zijn getest en hoe.
Hebben jullie onze broncode nodig?
Nee. Wij testen de gecompileerde app zoals een aanvaller dat doet, door de IPA en APK te decompileren en tijdens runtime te instrumenteren. Toegang tot broncode verkort wel de tijd om bepaalde soorten problemen te vinden en stelt ons in staat de exacte regel aan te wijzen, dus voor MASVS L2-opdrachten adviseren wij een code-ondersteunde test waar die beschikbaar is. De keuze is aan u; de scope legt vast welke aanpak is gebruikt.
Op welke toestellen en OS-versies testen jullie?
Op fysieke iOS- en Android-toestellen, zowel gejailbreakt of geroot voor instrumentatie als schoon voor realistisch gedrag, op de huidige grote OS-versies en de oudste versie die uw app nog ondersteunt. Emulators zetten wij in voor dekking, nooit als enige omgeving, omdat detectiecontroles, biometrie en hardwarematige sleutelopslag zich op echte hardware anders gedragen.
Wat is het verschil met een webapplicatie pentest?
Een webapplicatie draait op servers die u beheert; een mobiele app draait op hardware die de aanvaller beheert. Dat voegt de toestelkant toe: wat wordt opgeslagen, hoe dat is beschermd, of de binary te reversen en aan te passen is, en of lokale controles zoals biometrie of pinning eenvoudig zijn uit te schakelen. De backend-API wordt in beide gevallen getest, maar bij een mobiele test sturen wij die aan met de kennis uit de client, wat endpoints en parameters blootlegt die geen webinterface laat zien.
Voldoet de test aan PSD2, DORA, NEN 7510 en ISO 27001?
Ja. De technische reguleringsnormen van PSD2 voor sterke cliëntauthenticatie eisen onafhankelijkheid van de authenticatie-elementen en bescherming van het mobiele kanaal; DORA artikel 24 en 25 eisen het testen van ICT-systemen achter kritieke functies; NEN 7510:2024 verlangt van Nederlandse zorgorganisaties dat zij de beveiliging van systemen met patiëntgegevens toetsen; en ISO 27001 maatregelen A.8.8 en A.8.29 vragen om kwetsbaarhedenbeheer en beveiligingstesten tijdens ontwikkeling. Ons rapport koppelt elke bevinding aan het kader dat u noemt.
Wat kost een mobiele app pentest?
Elke test wordt op scope geoffreerd; er is geen vaste prijslijst. De factoren zijn het aantal platforms en apps, het MASVS-niveau, het aantal rollen en gebruikersreizen, de omvang van de backend-API, of broncode beschikbaar is en of een hertest is inbegrepen. Na een scopinggesprek ontvangt u binnen enkele werkdagen een schriftelijk voorstel met het aantal dagen en de lead tester bij naam.
Gerelateerde diensten en gidsen
Klaar om uw mobiele apps te testen?
Gecertificeerde testers bij naam, dekking volgens MASVS en een rapport waar uw iOS-, Android- en backendengineers mee aan de slag kunnen.