Banco Central de Jordania: pruebe la app de banca móvil que respalda las cuentas de sus clientes.
Las Instrucciones de resiliencia frente a los ciberriesgos del Banco Central de Jordania exigen pruebas de penetración de los sistemas críticos al menos una vez al año, también a nivel de aplicación. Su Marco de Ciberseguridad para el sector financiero añade normas concretas para las apps de banca móvil: TLS pinning, impedir la instalación en dispositivos con root o jailbreak, tiempos de espera de sesión de cinco minutos y secretos de un solo uso válidos durante cinco minutos como máximo. Ostorlab le ayuda con sus obligaciones de pruebas para la app y las API que la sustentan, en cada versión.
- Pruebas de penetración mediante agentes de IA detrás del inicio de sesión, incluidos los códigos de un solo uso
- Comprueba la detección de root y jailbreak y el TLS pinning, y qué hace la app cuando se activan
- Pruebas estáticas y dinámicas de la versión que publica, sin necesidad de código fuente
- Calificaciones de riesgo, tickets y nuevas pruebas, para poder demostrar cada corrección
- A quién se aplica
- Bancos autorizados, instituciones financieras, agencias de información crediticia y empresas de microfinanzas supervisados por el CBJ
- Base jurídica
- Instrucciones de resiliencia frente a los ciberriesgos, emitidas el 6 de febrero de 2018
- Ámbito
- Gestión del ciberriesgo, pruebas de penetración y prestación de servicios electrónicos
- Referencia
- Instrucciones de resiliencia frente a los ciberriesgos, artículo 35; Marco de Ciberseguridad, secciones G.2, G.9.5 y H.2
Los textos del CBJ detrás del canal móvil
Instrucciones vinculantes, un marco detallado y orientaciones antifraude. Las fechas siguientes corresponden a los textos citados en esta página.
- 25 de octubre de 2016
Instrucciones de gobernanza de TI
Instrucciones n.º (65/2016) sobre gobernanza y gestión de la información y la tecnología relacionada, basadas en COBIT 5, en vigor dieciocho meses después de su emisión.
- 6 de febrero de 2018
Instrucciones de resiliencia frente a los ciberriesgos
Normas de gobernanza de la ciberseguridad, protección, detección, respuesta, pruebas y externalización, aplicables doce meses después de su emisión.
- Julio de 2021
Marco de Ciberseguridad, versión 1.0
El marco del CBJ para el sector financiero fija niveles básicos de ciberseguridad, incluidos controles de banca móvil y web. FinCERT evalúa su implantación.
- Mayo de 2023
Orientaciones para combatir el fraude financiero
Controles antifraude para las empresas autorizadas a prestar servicios de pago electrónico, incluidos los bancos: autenticación reforzada de clientes y detección de dispositivos con root.
- Cada año
Pruebas de penetración e informes de auditoría de TI
Pruebas de penetración de los sistemas críticos al menos una vez al año, e informes anuales de auditoría de TI interna y externa al CBJ durante el primer trimestre.
- Cada mes
Escaneo de vulnerabilidades de los sistemas críticos
El marco recomienda encarecidamente escanear las vulnerabilidades al menos una vez al mes en los sistemas críticos y sensibles.
Las normas cibernéticas del CBJ, aplicadas a su app móvil
Las Instrucciones de resiliencia frente a los ciberriesgos, el Marco de Ciberseguridad para el sector financiero y las orientaciones antifraude del CBJ. Para cada norma: qué dice el texto, qué supone para una app de banca móvil, cómo ayuda Ostorlab y qué sigue correspondiendo a su equipo.
- Instrucciones de resiliencia frente a los ciberriesgos, artículo 35(a)
Realice pruebas de penetración de los sistemas críticos al menos una vez al año
Qué dice el texto
Realice pruebas de penetración de los sistemas críticos al menos una vez al año o tras un cambio radical en el sistema, con un alcance basado en la sensibilidad de los sistemas y de los sistemas que los sustentan. Las pruebas se realizan tanto a nivel de las aplicaciones como de las redes internas y externas. Las pruebas pueden encargarse a un tercero, pero no externalizarse al mismo tercero durante más de dos años consecutivos.
Fuente:Instrucciones de resiliencia frente a los ciberriesgos, artículo 35(a)
Qué supone para su app móvil
Si su app de banca móvil sustenta sistemas críticos, tanto ella como sus API forman parte de la prueba de penetración anual, y de una nueva prueba tras cualquier cambio radical.
Cómo ayuda Ostorlab
El pentest con agentes de IA prueba la app y sus API detrás del inicio de sesión, sobre la versión que publica, con un exploit funcional que puede reproducir para cada hallazgo de un agente de IA. Puede ejecutarse en cada versión, entre sus pruebas anuales.
Qué sigue en sus manos
Definir el alcance de la prueba anual, elegir y rotar al proveedor de las pruebas, y decidir qué se considera un cambio radical.
- Instrucciones de resiliencia frente a los ciberriesgos, artículo 35(b) y (c); Marco de Ciberseguridad, G.9.5
Evalúe las vulnerabilidades y vigile la aparición de nuevas brechas
Qué dice el texto
Evalúe periódicamente las vulnerabilidades y brechas de seguridad de los sistemas críticos y de sus sistemas de soporte, corrija las brechas detectadas y supervise los sistemas de forma continua para detectar otras nuevas. El marco recomienda encarecidamente escanear las vulnerabilidades al menos una vez al mes en los sistemas críticos y sensibles, tanto eludiendo los controles aplicados como a través de ellos.
Qué supone para su app móvil
Entre los pentests anuales, la app y sus API necesitan escaneos automatizados periódicos, con los hallazgos corregidos y con seguimiento.
Cómo ayuda Ostorlab
Ejecute escaneos automatizados desde su pipeline de CI/CD en cada compilación y supervise las versiones publicadas en las tiendas sin activación manual. Las ejecuciones programadas de su pipeline mantienen una periodicidad semanal entre versiones. Los hallazgos se califican como críticos, altos, medios o bajos, se registran como tickets y se vuelven a probar una vez publicada la corrección.
Qué sigue en sus manos
El escaneo de la infraestructura y de la red, y la frecuencia de escaneo de cada sistema.
- Marco de Ciberseguridad, G.2.2 y G.2.3
Pruebe la seguridad durante todo el desarrollo
Qué dice el texto
Defina un ciclo de vida de desarrollo seguro: análisis estático del código durante la codificación y análisis dinámico mediante escaneo de vulnerabilidades y pruebas de penetración durante la fase de pruebas, con los resultados revisados y corregidos. La codificación segura debe abordar como mínimo el OWASP Top Ten y el CWE/SANS Top 25. La seguridad de las aplicaciones no debería basarse en ocultar funcionalidades, código fuente, claves o cadenas, y las correcciones deben probarse a fondo antes de su publicación.
Qué supone para su app móvil
Cada versión de la app debería superar pruebas estáticas y dinámicas antes de llegar a la tienda, y las claves ocultas en la app no son un control.
Cómo ayuda Ostorlab
Mobile SAST analiza directamente el APK, AAB o IPA, sin necesidad de código fuente, incluido el análisis de propagación (taint) en los SDK integrados. Mobile DAST ejecuta la app y captura el tráfico, las trazas de pila y capturas de pantalla. Ostorlab también detecta secretos codificados, como claves de API y tokens, antes de que se publiquen.
Qué sigue en sus manos
El modelado de amenazas, las revisiones manuales del código por una persona distinta de quien lo escribió y la formación de los desarrolladores.
- Marco de Ciberseguridad, H.2.1(2)
Refuerce la app de banca móvil
Qué dice el texto
En la banca móvil y web, la app debe verificar el número de móvil del cliente y el IMEI o ESN del dispositivo en el primer uso, finalizar las sesiones tras un máximo de cinco minutos de inactividad, prohibir las sesiones simultáneas permitiendo hasta tres dispositivos validados, utilizar técnicas contra los ataques de intermediario (man-in-the-middle) como el TLS pinning, evitar almacenar en caché datos sensibles y cifrar los datos guardados en el dispositivo, e impedir la instalación en dispositivos con root o jailbreak.
Qué supone para su app móvil
Cada uno de estos puntos es una propiedad verificable de la app. El pinning y la detección de root también deben resistir a un atacante que intente eludirlos.
Cómo ayuda Ostorlab
Mobile Shielding Scan ejecuta la app en entornos con root y jailbreak, intenta eludir la detección de root y jailbreak, la protección contra manipulación, la anti-instrumentación y el TLS pinning, y muestra si la app bloquea el flujo, se niega a iniciarse o sigue funcionando. Ostorlab también busca tokens y datos personales en el almacenamiento local, las cachés, los registros y las capturas de pantalla.
Qué sigue en sus manos
Elegir y configurar su producto de blindaje, y el proceso de registro de dispositivos.
- Marco de Ciberseguridad, H.2.1(1) y H.4(2)
Añada factores de autorización para las acciones sensibles
Qué dice el texto
Implante factores de autorización adicionales para la activación de cuentas, el restablecimiento de contraseñas, las transacciones financieras y el alta o la modificación de beneficiarios, mediante secretos de un solo uso fuera de banda, OTP basados en tiempo o en hash, o autenticadores criptográficos. Los secretos de un solo uso son válidos durante un máximo de cinco minutos. Los cambios de datos de contacto a través de un canal electrónico requieren autenticación multifactor, con alertas y el segundo factor enviados al número o a la dirección de correo electrónico anteriores.
Qué supone para su app móvil
Las verificaciones reforzadas en beneficiarios, restablecimientos y cambios de datos de contacto son los controles que los defraudadores intentan saltarse. Deben mantenerse en el servidor, independientemente de lo que envíe la app.
Cómo ayuda Ostorlab
Ostorlab completa los códigos de un solo uso por SMS, correo electrónico o TOTP con sus cuentas de prueba y prueba la aplicación de la MFA y los flujos de autenticación reforzada, incluido cómo intentan manipularlos los atacantes, junto con las llamadas a la API que hay detrás de los cambios en la cuenta.
Qué sigue en sus manos
Elegir los métodos de autenticación y los canales de los secretos de un solo uso.
- Marco de Ciberseguridad, G.3 (7.4, 7.6, 8.3) y H.3(5)
Cuente bien los factores y bloquee tras tres intentos fallidos
Qué dice el texto
La autenticación solo se considera multifactor cuando se utilizan al menos dos autenticadores de factores distintos. La verificación del dispositivo, la autenticación basada en conocimiento, la ubicación y la biometría conductual no son factores de autenticación. El acceso a los servicios de pago electrónico debe bloquearse tras un máximo de tres intentos fallidos de autenticación o autorización, y las contraseñas temporales deben caducar en poco tiempo.
Fuente:Marco de Ciberseguridad, G.3 (7.4, 7.6, 8.3) y H.3(5)
Qué supone para su app móvil
Un dispositivo de confianza más un código por SMS no equivalen a dos factores si ambos pueden obtenerse a la vez. El bloqueo y la caducidad deben aplicarse en el backend.
Cómo ayuda Ostorlab
Las pruebas autenticadas cubren el inicio y el cierre de sesión, la renovación de tokens, los tiempos de espera, la invalidación de sesiones y la aplicación de la MFA, y el análisis del tráfico muestra cómo viajan las credenciales desde la app hasta el backend.
Qué sigue en sus manos
La política de contraseñas, la duración de los bloqueos y el procedimiento de reactivación.
- Marco de Ciberseguridad, I.3
Proteja las API que abre a terceros
Qué dice el texto
En el caso de los proveedores de acceso a la información y de iniciación de pagos, los terceros deben autenticarse antes de consumir cualquier API, y se recomienda encarecidamente el TLS mutuo. Los usuarios se autentican con al menos dos factores antes de registrar el consentimiento, los clientes se autentican a nivel de API, con OAuth 2.0 y OpenID Connect muy recomendados, y los usuarios pueden revocar el consentimiento en cualquier momento.
Fuente:Marco de Ciberseguridad, I.3
Qué supone para su app móvil
Las API detrás de la app y cualquier API abierta necesitan una autorización que se mantenga en cada solicitud, sea quien sea quien las llame.
Cómo ayuda Ostorlab
Ostorlab intercepta el tráfico de la app, incluso con TLS pinning, y prueba las API en busca de fallos de autorización (BOLA, BFLA, IDOR), usos indebidos de tokens y sesiones, y abusos como la enumeración, la repetición y la automatización, con evidencia de solicitudes y respuestas para cada hallazgo.
Qué sigue en sus manos
La incorporación de terceros, la conectividad VPN, la gestión del consentimiento y los catálogos de riesgos de las API.
- Orientaciones del CBJ para combatir el fraude financiero en el Sistema Nacional de Pagos, procedimientos de control interno, C, D y G
Integre controles antifraude en la app
Qué dice el texto
Autentique a los clientes con al menos dos factores y evite depender únicamente de OTP por SMS, también al acceder a las aplicaciones móviles, realizar transacciones y activar la app en un dispositivo nuevo. Exija un tercer factor en las sesiones anómalas o en las transferencias desde un dispositivo no de confianza a un nuevo beneficiario. Las apps móviles deberían detectar el jailbreak o el root y bloquear la app o restringir las funciones sensibles, y limitar los inicios de sesión simultáneos o el número de dispositivos.
Qué supone para su app móvil
Los controles antifraude residen en la app y en las API de pago. La detección de dispositivos con root, la vinculación del dispositivo y las reglas de autenticación reforzada forman parte de su defensa antifraude.
Cómo ayuda Ostorlab
Ostorlab prueba los controles relevantes para el fraude dentro de la app y de sus API: la autenticación, las verificaciones reforzadas, la gestión de sesiones, las protecciones del dispositivo y la lógica de negocio que hay detrás de los pagos.
Qué sigue en sus manos
La monitorización de transacciones, la unidad antifraude, las listas negras y la concienciación de los clientes.
- Instrucciones n.º (65/2016), artículo 9 y anexo 5
Aporte a los auditores evidencia de sus pruebas
Qué dice el texto
El comité de auditoría y el auditor externo remiten al CBJ un informe anual de auditoría de TI interna y otro externo durante el primer trimestre de cada año. El programa de auditoría abarca, entre otros aspectos, la eficiencia y suficiencia de las evaluaciones de vulnerabilidades y de las pruebas de penetración, y los controles operativos de los canales electrónicos y de los sistemas de pago electrónico.
Qué supone para su app móvil
Los auditores preguntarán cómo se probó la app, qué se encontró y si se corrigió.
Cómo ayuda Ostorlab
Los resultados de los escaneos, los hallazgos con pasos de reproducción y los resultados de las nuevas pruebas le proporcionan un registro fechado de cómo se probaron y corrigieron los controles de la app, versión tras versión.
Qué sigue en sus manos
La auditoría en sí, el marco de gobernanza de TI y la notificación al CBJ.
Resumen de las versiones en inglés de textos públicos del CBJ, consultadas el 27 de septiembre de 2026. Algunos textos se aplican a tipos de licencia específicos, como se indica. Esta página no constituye asesoramiento jurídico.
Normas del CBJ, control por control
Los controles móviles y de API de los textos del CBJ, cómo los prueba Ostorlab en su app y sus API, y la evidencia que puede conservar.
| Control | Cómo ayuda Ostorlab | Evidencia que conserva |
|---|---|---|
| Pruebas de penetración a nivel de aplicaciónResiliencia frente a los ciberriesgos, art. 35(a) | Pentest con agentes de IA de la app y de sus API, detrás del inicio de sesión, sobre la versión que publica. Detalles | Un exploit funcional que puede reproducir para cada hallazgo de un agente de IA, y un mapa de calor de cobertura |
| Escaneo periódico de vulnerabilidadesResiliencia frente a los ciberriesgos, art. 35(b); CSF G.9.5 | Escaneos automatizados desde su pipeline de CI/CD en cada compilación, incluidas las ejecuciones programadas, y supervisión de las versiones publicadas en las tiendas. Detalles | Resultados del escaneo por compilación y por versión publicada en la tienda |
| Análisis estático y dinámico antes de la publicaciónCSF G.2.2 | Mobile SAST sobre el binario y Mobile DAST sobre la app en ejecución, antes de la publicación. Detalles | Hallazgos con el contexto del código descompilado, el tráfico, las trazas de pila y capturas de pantalla |
| Ninguna clave ni secreto oculto en la appCSF G.2.3 | Detecta claves de API, tokens y credenciales en el paquete de la app y valida si funcionan. Detalles | Secretos validados, con los permisos y servicios que exponen |
| Sin instalación en dispositivos con root o jailbreakCSF H.2.1; orientaciones antifraude, G | Ejecuta la app en entornos con root y jailbreak e intenta eludir la detección de root y jailbreak. Detalles | Puntuación de endurecimiento y evidencia de elusión de cada protección que falló |
| TLS pinning contra ataques de intermediarioCSF H.2.1 | Intenta eludir el TLS pinning en tiempo de ejecución e intercepta el tráfico de la app cuando lo consigue. Detalles | Evidencia de qué protecciones resistieron y cuáles se eludieron |
| Datos sensibles en caché o almacenados en el dispositivoCSF H.2.1 | Busca tokens y datos personales en el almacenamiento, las cachés, los registros y las capturas de pantalla, y comprueba las protecciones del transporte. Detalles | Evidencia del sistema de archivos que muestra qué se escribió, dónde y cuándo |
| Factores de autorización, sesiones de cinco minutos y secretos de un solo usoCSF H.2.1, H.4, H.3 | Inicia sesión con códigos de un solo uso y prueba la aplicación de la MFA, los flujos de autenticación reforzada, los tiempos de espera y la invalidación de sesiones. Detalles | Hallazgos sobre los flujos de inicio de sesión, de sesión y de autenticación reforzada, con los pasos de reproducción |
| Autenticación y autorización de las APICSF I.3 | Intercepta el tráfico incluso con TLS pinning y prueba la autorización, el uso indebido de tokens y abusos como la enumeración y la repetición. Detalles | Evidencia de solicitudes y respuestas para cada hallazgo de API |
| Corrección con seguimiento y nueva pruebaResiliencia frente a los ciberriesgos, art. 35(b); ITG 65/2016, anexo 5 | Agrupa los hallazgos en tickets en la plataforma o en Jira y ServiceNow, y vuelve a probar tras la corrección. | Historial de tickets y resultado de la nueva prueba de cada hallazgo |
Ostorlab prueba los controles de la app y de sus API. La gobernanza de la ciberseguridad, la gobernanza de TI según COBIT, las pruebas de red e infraestructura, la monitorización del SOC, la respuesta a incidentes, la continuidad de negocio, la supervisión de la externalización y de la nube, las operaciones antifraude y la notificación al CBJ corresponden a sus equipos.
Controles móviles del CBJ que probar en su app
Una lista práctica para los equipos de seguridad, antifraude y auditoría en Jordania.
Prueba de penetración anual
Incluya la app móvil y sus API en el alcance de la prueba de penetración anual de los sistemas críticos, y vuelva a probar tras cualquier cambio radical.
Escaneos entre pruebas
Escanee cada compilación y cada versión publicada en la tienda, y procure escanear los sistemas críticos al menos una vez al mes, como recomienda el marco.
Dispositivos con root y jailbreak
Ejecute la app en dispositivos con root y jailbreak y confirme que se niega a instalarse o a ejecutarse, o que restringe las funciones sensibles.
TLS pinning
Intente interceptar el tráfico de la app y confirme que el pinning resiste los intentos de elusión.
Sesiones y secretos de un solo uso
Verifique el tiempo de espera por inactividad de cinco minutos, la prohibición de sesiones simultáneas, la caducidad de los secretos de un solo uso y el bloqueo tras tres intentos.
Autenticación reforzada en acciones sensibles
Compruebe que la activación, el restablecimiento de contraseñas, las transferencias, los nuevos beneficiarios y los cambios de datos de contacto requieren un factor adicional, aplicado por el servidor.
Datos y secretos en la app
Busque datos sensibles en caché, almacenamiento sin cifrar y claves o tokens codificados en el paquete de la app.
Evidencia para los auditores
Conserve los resultados, los tickets y las nuevas pruebas de cada versión, listos para los informes anuales de auditoría de TI interna y externa.
Una lista sugerida, no una plantilla del CBJ. Esto no constituye asesoramiento jurídico.
Las capacidades detrás de esta página
Cada una tiene su propia página con los detalles.
- Mobile Agentic Deep ScanLos agentes de IA realizan el pentest de la versión publicada en cada release, con un exploit funcional que puede reproducir para cada hallazgo de un agente de IA.Más información
- Mobile Shielding ScanPruebe en tiempo de ejecución la detección de root y jailbreak, la protección contra manipulación y el pinning, y vea qué protecciones resistieron y cuáles se evadieron.Más información
- Mobile SASTAnálisis estático basado en el binario de archivos APK, AAB e IPA, con análisis de propagación (taint) en toda la app y sus SDK integrados.Más información
- Pruebas autenticadasPruebe el inicio de sesión, los códigos de un solo uso y la autenticación reforzada con sus cuentas de prueba.Más información
- Pruebas de API y backendIntercepte el tráfico de la app incluso con TLS pinning y pruebe las API y los backends detrás de cuentas y pagos.Más información
- SCA y SBOMDetecte dependencias vulnerables, incluidas las bibliotecas nativas compiladas estáticamente, y haga un seguimiento de su cierre versión tras versión.Más información
- Su propia clave de IAEjecute los escaneos con agentes de IA con la clave de su proveedor de IA y un límite de gasto por escaneo, según sus políticas internas.Más información
- Escaneo on-premisesEscanee apps de preproducción, API y repositorios detrás de su firewall o VPN, en una infraestructura que usted controla.Más información
Bancos y fintechs confían en nosotros, entre ellos
Fuentes
Los textos oficiales en los que se basa esta página, consultados el 27 de septiembre de 2026.
- Instructions of Cyber Risks ResilienceBanco Central de Jordania, n.º 26/1/1/1984, 6 de febrero de 2018, aplicables doce meses después de su emisión. Se aplican a bancos autorizados, instituciones financieras, agencias de información crediticia y empresas de microfinanzas; el artículo 35 trata las pruebas de penetración y las evaluaciones de vulnerabilidades
- Cybersecurity Framework for Jordan Financial Sector, Version 1.0Banco Central de Jordania y FinCERT, julio de 2021. Niveles básicos para las entidades reguladas por el CBJ, incluidos el desarrollo seguro, el escaneo de vulnerabilidades y las pruebas de penetración, la banca móvil y web y las API abiertas
- Governance and Management of Information and Related Technology Instructions No. (65/2016)Banco Central de Jordania, 25 de octubre de 2016, basadas en COBIT 5, en vigor dieciocho meses después de su emisión. Tratan la gobernanza de TI y los informes anuales de auditoría de TI al CBJ
- Guidance on Combating Financial Fraud in the National Payment SystemBanco Central de Jordania, Departamento de Vigilancia y Supervisión del Sistema Nacional de Pagos, mayo de 2023. Para las empresas autorizadas a prestar servicios de pago electrónico, incluidos los bancos
Preguntas frecuentes
Respuestas claras sobre cobertura, configuración y cómo llegan los resultados a su equipo.
¿No encuentra su respuesta? Reserve una demo o contáctenos.
Pruebe su app de banca móvil frente a las normas del CBJ
Empiece con un escaneo gratuito de su app desde la tienda, o reserve una demo para realizar con nuestro equipo pruebas de blindaje y con sesión iniciada.