Banking Report 2025: Security at the Core of Mobile Finance(se abre en una pestaña nueva)
Resultados de más de 500 aplicaciones de banca móvil: qué protecciones existen y dónde están las carencias. Incluye un informe en PDF.
Investigación
Investigación original en seguridad de Ostorlab
Estudios de seguridad móvil y bancaria, vulnerabilidades que hemos divulgado, lo que han encontrado nuestros agentes de IA y las herramientas de código abierto que mantenemos. Cada elemento enlaza al artículo completo o al código, para que su equipo pueda comprobar los detalles.
Elementos mostrados: 26
Investigación original
Estudios de aplicaciones de banca móvil, vulnerabilidades que encontramos y notificamos, e investigación sobre malware bancario.
Serie de informes bancarios
La seguridad de la banca móvil, estudiada a lo largo del tiempo
Dos ediciones de nuestro estudio sobre aplicaciones de banca móvil. Léalas juntas para ver cómo evolucionan las protecciones y las debilidades más comunes.
Security Landscape of Mobile Banking Applications in North America(se abre en una pestaña nueva)
La edición anterior, sobre aplicaciones bancarias de Norteamérica, como punto de comparación.
ZIP Exploitation: Critical Vulnerabilities in Popular Zip Libraries in Swift and Flutter(se abre en una pestaña nueva)
Cinco CVE en bibliotecas ZIP que usan aplicaciones iOS y Flutter: un riesgo de dependencias que sus propias aplicaciones pueden heredar.
From Signal to the Android SDK: Chaining Path Traversal, Mimetype Confusion, Security Check Bypass(se abre en una pestaña nueva)
Una cadena que va de Signal hasta el SDK de Android. Signal confirmó el aviso en 3 horas y lo corrigió; no se asignó ninguna CVE.
Bypassing Mobile App Shielding: Where Detection Ends and Enforcement Fails(se abre en una pestaña nueva)
Cinco aplicaciones bancarias en producción probadas frente a cuatro productos comerciales de protección de aplicaciones: dónde la detección funciona pero la aplicación de medidas falla.
Inside BeatBanker / BTMOB: Static Analysis of a Multi-Stage Android Banking Malware Platform(se abre en una pestaña nueva)
Análisis estático de una plataforma de malware bancario para Android en varias fases, el tipo de amenaza a la que se enfrentan los teléfonos de sus clientes.
One Scheme to Rule Them All: OAuth Account Takeover(se abre en una pestaña nueva)
Secuestro de esquemas de URL personalizados que lleva a la toma de control de cuentas, un patrón que afecta a los flujos de inicio de sesión de la banca móvil.
zCamera, 100M+ installation app, from remote compromise to data leaks(se abre en una pestaña nueva)
Del compromiso remoto a la fuga de datos en una aplicación con más de 100 millones de instalaciones.
Nuestros agentes de IA en acción
Vulnerabilidades encontradas por nuestro motor de IA durante pruebas de penetración agénticas, primero en aplicaciones móviles y después en las API que las sustentan.
Javascript Interface Exposure(se abre en una pestaña nueva)
Nuestro motor de IA encontró en una aplicación Android un puente JavaScript de WebView accesible mediante enlaces profundos.
Going Beyond: Ostorlab AI Engine Discovers Unknown Vulnerability Classes(se abre en una pestaña nueva)
El motor de IA encontró clases de vulnerabilidades que no se le había pedido buscar, entre ellas una evasión de Safe Browsing en WebView.
AI-Powered Pentesting: A Deep Dive into Android Intent Redirection(se abre en una pestaña nueva)
Cómo el motor de IA encontró una redirección de intents en Android y la demostró con una prueba de concepto funcional.
AI Pentest Engine Discovers Critical WebSocket BFLA in GraphQL Subscriptions(se abre en una pestaña nueva)
Un fallo de control de acceso en las suscripciones GraphQL de una API backend: los servidores que hay detrás de su aplicación móvil.
AI Engine Triggers Account Takeover via API Version Confusion(se abre en una pestaña nueva)
Una toma de control de cuentas mediante un flujo de restablecimiento de contraseña todavía expuesto en una versión antigua de la API.
Técnicas
Artículos prácticos para profesionales de la seguridad móvil: ofuscación, instrumentación, ingeniería inversa y pinning.
Bypassing Obfuscation in Android Apps: DalvikFLIRT and LLM-Powered Rewrites(se abre en una pestaña nueva)
Cómo recuperar código legible de aplicaciones Android ofuscadas con reconocimiento de firmas y reescrituras mediante LLM.
Swift Under the Microscope: Practical Dynamic Instrumentation(se abre en una pestaña nueva)
Instrumentación dinámica práctica del código Swift en aplicaciones iOS.
Flutter Reverse Engineering and Security Analysis(se abre en una pestaña nueva)
Cómo aplicar ingeniería inversa y evaluar aplicaciones creadas con Flutter.
Universal bypass of SSL Pinning, from theory to a full working PoC with LLDB(se abre en una pestaña nueva)
Una evasión universal del SSL pinning con LLDB, de la teoría a una prueba de concepto funcional.
Application Security Testing on non-Jailbroken iOS from Linux(se abre en una pestaña nueva)
Pruebas de seguridad de aplicaciones iOS en dispositivos sin jailbreak, desde un equipo Linux.
Mapping Dependency Confusion: A Novel Detection Approach using Source Map Files(se abre en una pestaña nueva)
Un método de detección de la confusión de dependencias a partir de archivos source map.
Benchmarks y aplicaciones de prueba
Aplicaciones vulnerables a propósito y benchmarks con los que puede evaluar cualquier herramienta de seguridad móvil, incluida la nuestra.
Introducing Ostorlab Security Testing Benchmarks: Real Vulnerabilities, Real Impact(se abre en una pestaña nueva)
93 aplicaciones móviles vulnerables basadas en CVE reales y hallazgos de bug bounty, abiertas para que cualquiera pruebe herramientas.
Aplicaciones Android e iOS vulnerables
Aplicaciones vulnerables a propósito que cualquiera puede usar como objetivos de prueba.
Ostorlab's Insecure Flutter Apps: A Playground for Learning and Testing Mobile Security(se abre en una pestaña nueva)
Aplicaciones Flutter vulnerables a propósito, para aprender y probar herramientas.
Código abierto
Herramientas que desarrollamos y mantenemos en abierto.
Ostorlab/oxo(se abre en una pestaña nueva)
Nuestro orquestador de análisis de seguridad de código abierto: más de 15 000 descargas mensuales en PyPI y 113 versiones publicadas en los últimos 12 meses.
Ostorlab/KEV(se abre en una pestaña nueva)
Un solo comando para detectar vulnerabilidades explotadas conocidas, con CISA KEV, Tsunami y Asteroid.
Ostorlab/agent_asteroid(se abre en una pestaña nueva)
El agente de detección remota de vulnerabilidades en el que se basa KEV.
Integraciones de CI
Analice cada versión desde GitHub Actions, Azure DevOps o GitLab CI.
Además, más de 30 agentes de código abierto, entre ellos Nmap, ZAP, Nuclei, Tsunami, OpenVAS, Semgrep y TruffleHog.Ver los agentes (se abre en una pestaña nueva)
Descubra lo que nuestra investigación encuentra en su aplicación
Las pruebas de penetración agénticas de Ostorlab se basan en esta investigación para probar cada versión de su aplicación móvil.