Ilustración. Pantallas genéricas, ningún banco real.
- ›
dispositivo en líneala aplicación falsa contacta con su servidor
2.ª edición
El estado de la
Seguridad de las aplicaciones de banca móvil 2025
Escaneamos más de 500 de las principales aplicaciones bancarias en Android e iOS. Esto es lo que encontramos.
El informe en 30 segundos
- 01más de 50 %de las aplicaciones bancarias contienen secretos hardcodeados
- 0247,7 %de las aplicaciones bancarias iOS salieron antes de 2014
- 03más de 77 %de los backends de aplicaciones bancarias están en Estados Unidos
- 04más de 72 %de las aplicaciones bancarias contienen código nativo C/C++
- 0565 %de los dispositivos infectados estaban en Italia
Hallazgos
La mayoría de las aplicaciones bancarias aún entregan las llaves de su backend
Hallazgo más común
de las aplicaciones bancarias contienen secretos hardcodeados
Claves de API, tokens y credenciales están en el código o en los archivos de recursos. Cualquiera que descargue la aplicación puede extraerlos.
Fuente: análisis de Ostorlab de más de 500 grandes aplicaciones bancarias, 2025
Analizamos más de 500 de las principales aplicaciones bancarias del mundo, en Android e iOS, con análisis estático, dinámico y de comportamiento.
Casi 1 de cada 2 aplicaciones incluye una biblioteca con una vulnerabilidad crítica conocida
más de 46 % de las aplicaciones analizadas
Casi 3 de cada 10 aplicaciones permite eludir el inicio de sesión biométrico
más de 28 % de las aplicaciones analizadas
FIG. 1.1
Porcentaje de aplicaciones bancarias afectadas, por vulnerabilidad
Se encontró detección de root en más del 40 % de las aplicaciones. La criptografía débil (modo ECB, MD5, IV estáticos) apareció en un pequeño número de aplicaciones.
Fuente: análisis de Ostorlab de más de 500 grandes aplicaciones bancarias, 2025
Crítico
Hasta 19
vulnerabilidades críticas encontradas en una sola aplicación bancaria
La mayoría tiene entre 0 y 2. Un pequeño grupo tiene 10 o más. En una aplicación bancaria, incluso una es grave.
Estas vulnerabilidades no son teóricas. Son riesgos reales que afectan a millones de usuarios en ambas plataformas.
Antigüedad
Las aplicaciones bancarias son más antiguas de lo que parecen
Casi todas las aplicaciones publicaron una actualización en los últimos seis meses. Muchas se lanzaron por primera vez hace más de diez años, con código que no se escribió para los ataques de hoy.
47,7 %
de las aplicaciones bancarias iOS salieron antes de 2014
Un código antiguo necesita trabajo constante para seguir siendo seguro. Publicar a menudo no demuestra que ese trabajo esté hecho.
FIG. 2.1
Aplicaciones bancarias por fecha de primera publicación
- 2008–11
- 2011–14
- 2014–16
- 2016–19
- 2019–22
- 2022–25
Fuente: análisis de Ostorlab de más de 500 grandes aplicaciones bancarias, 2025
94,7 %
de las aplicaciones iOS publicaron una versión en los últimos seis meses
88,8 %
de las aplicaciones Android hicieron lo mismo
Actualizar a menudo no significa actualizar de forma segura. Muchas versiones añaden funciones o cambian la interfaz, y solo el 1 % de las aplicaciones tenía una última versión de hace más de un año.
Backends
Casi todas las aplicaciones bancarias hablan con servidores en Estados Unidos
La mayoría de estos bancos no son estadounidenses. Una brecha o una caída en un gran proveedor estadounidense podría afectar a muchos bancos a la vez, y los datos de los clientes quedan sujetos a la normativa de EE. UU.
FIG. 3.1
Dónde se alojan los backends de las aplicaciones bancarias, por posición
>77 % de los backends
Top 10 por número de backends
- 1Estados Unidos
- 2Canadá
- 3Corea del Sur
- 4Irlanda
- 5Alemania
- 6Francia
- 7Singapur
- 8Países Bajos
- 9Australia
- 10RAE de Hong Kong (China)
El informe clasifica 49 países por número de backends. Solo da un porcentaje para Estados Unidos.
Fuente: análisis de Ostorlab de más de 500 grandes aplicaciones bancarias, 2025
Las aplicaciones iOS dependen de muy pocos servidores: el 78 % se comunica con 2 o menos. Las aplicaciones Android se comunican con muchos más, y cada uno es algo más que proteger.
Tecnologías
Las mismas piezas, en cientos de aplicaciones bancarias
Los escaneos identificaron los lenguajes, el código nativo y las bibliotecas de cada aplicación. Un fallo en una biblioteca popular es un fallo en cientos de bancos.
zlib
Compresión de datos
~55 %
De cada 10 aplicaciones bancarias
OpenSSL
Cifrado de red
>51 %
De cada 10 aplicaciones bancarias
SQLite
Almacenamiento local de datos
>35 %
De cada 10 aplicaciones bancarias
Firebase
Servicios backend
34 %
De cada 10 aplicaciones bancarias
No es hipotético: los análisis encontraron zlib 1.2.8, una versión con vulnerabilidades conocidas, en aplicaciones bancarias.
También dentroC/C++ >72 %Kotlin (Android) >61 %Objective-C (iOS) >65 %
FuncionesInicio de sesión biométrico >65 %Analítica >45 %Seguimiento de usuarios 1 %
Permisos
Algunas aplicaciones piden accesos que ningún banco necesita
Cada permiso es una vía de entrada. La mayoría de las solicitudes encajan con lo que hace una aplicación bancaria. Algunas son difíciles de explicar.
Lo esperable
Lo que una aplicación bancaria probablemente necesita. Cuando el informe da un porcentaje, la barra lo muestra.
- Cámara ~95%
- Face ID 80%
- Huella y biometría ~80%
- Acceso a la red Casi todas
- Notificaciones Habitual
- Ubicación precisa Muy usado
Difícil de justificar
Una pequeña parte de las aplicaciones solicita accesos sin un uso bancario claro. Las aplicaciones bancarias deberían pedir solo lo mínimo necesario.
Grabar audio desde un servicio en segundo plano
FOREGROUND_SERVICE_MICROPHONE¿Necesita esto una aplicación bancaria?
Casi el 40 % de las aplicaciones bancarias Android también ejecutan entre 11 y 20 servicios en segundo plano, y el 16 % entre 21 y 30. Más servicios significan más puntos de entrada que proteger.
Caso de estudio
ToxicPanda muestra cómo un troyano bancario vacía una cuenta
ToxicPanda es un troyano bancario para Android identificado por Cleafy a finales de 2024. Toma el control de las cuentas y mueve el dinero desde el propio teléfono de la víctima, lo que le permite superar muchos controles antifraude.
Cómo funciona el ataque
65 %
de los dispositivos infectados estaban en Italia
Le sigue Portugal con el 21,4 %. Se detectó por primera vez atacando a usuarios de Europa y América Latina.
FIG. 6.1
Dónde estaban los dispositivos infectados
- Italia
- Portugal
- Otros
Fuente: Cleafy, 2024
Sobrevive a los reinicios, vuelve a pedir permiso si se desactiva la Accesibilidad y recurre a dominios generados si desactivan sus servidores. Fuentes: Cleafy, Bitsight.
Perspectivas
Lo que viene
La nueva tecnología aporta comodidad, y los atacantes usan esa misma tecnología para avanzar igual de rápido.
Biometría y blockchain
- Promesa
- Huellas, reconocimiento facial y blockchain pueden reforzar la seguridad.
- Nuevo riesgo
- Los datos biométricos robados no se pueden cambiar, y la blockchain puede ser débil donde se construye o se integra.
La banca dentro de otras aplicaciones
- Promesa
- La banca dentro de apps de compras, transporte y redes sociales aporta comodidad y nuevos servicios.
- Nuevo riesgo
- Amplía la superficie de ataque y los riesgos de privacidad, y exige controles estrictos a cada tercero.
Bancos solo digitales
- Promesa
- Los bancos 100 % digitales están transformando el sector y desafiando las reglas.
- Nuevo riesgo
- Brechas de cumplimiento, y una brecha o caída golpea más la confianza sin una sucursal de respaldo.
IA en ambos lados
- Promesa
- La IA mejora los servicios bancarios y la detección del fraude.
- Nuevo riesgo
- Modelos sesgados u opacos, ataques contra la propia IA y deepfakes que se hacen pasar por clientes o empleados.
La respuesta
Seguridad en cada build
Análisis automatizados en cada paso del desarrollo, estándares de código seguro como el OWASP Mobile Top 10 y herramientas de IA que detectan errores pronto.
Cómo lo analizamos
- Más de 500 aplicaciones bancariasLas principales aplicaciones del mundo, en Android e iOS.
- 01Análisis estáticoEl motor de Ostorlab revisó el código y los archivos de cada aplicación en busca de secretos, dependencias vulnerables, inyecciones y criptografía débil.
- 02Análisis dinámicoMonkey Tester ejecutó y manejó cada aplicación en un entorno controlado, con hooking de API.
- 03Pruebas del backendSe revisó el tráfico interceptado en busca de vulnerabilidades conocidas y se aplicó fuzzing para detectar inyección SQL y XXE.
- HallazgosLos problemas contados en todas las aplicaciones de este informe.
No cubierto: problemas tras un inicio de sesión. Los análisis dinámicos se hicieron sin iniciar sesión en las aplicaciones.
La seguridad ya no puede ser una ocurrencia tardía ni una casilla de cumplimiento normativo. Tiene que formar parte del diseño, el desarrollo y la publicación de cada aplicación bancaria.
Todas las ediciones
- 2025Mobile Banking App Security Research 2025Más de 500 de las principales aplicaciones bancarias del mundo, Android e iOS.Está leyendo esta edición
- 2024Security Landscape of Mobile Banking Applications in North AmericaLa primera edición: aplicaciones bancarias de Estados Unidos y Canadá.Leer el informe
Descargar el informe completo
40 páginas de hallazgos, gráficos y el caso de estudio de ToxicPanda.