Banking Report 2025: Security at the Core of Mobile Finance(s'ouvre dans un nouvel onglet)
Les résultats de plus de 500 applications bancaires mobiles : quelles protections sont en place et où se trouvent les lacunes. Rapport PDF inclus.
Recherche
Recherches originales en sécurité par Ostorlab
Études sur la sécurité mobile et bancaire, vulnérabilités que nous avons divulguées, découvertes de nos agents IA et outils open source que nous maintenons. Chaque élément renvoie à l'article complet ou au code, pour que votre équipe puisse vérifier les détails.
Éléments affichés : 26
Recherches originales
Études des applications bancaires mobiles, vulnérabilités trouvées et signalées, et recherche sur les malwares bancaires.
Série de rapports bancaires
La sécurité des applications bancaires mobiles, étudiée dans la durée
Deux éditions de notre étude des applications bancaires mobiles. Lisez-les ensemble pour voir comment évoluent les protections et les faiblesses courantes.
Security Landscape of Mobile Banking Applications in North America(s'ouvre dans un nouvel onglet)
L'édition précédente, consacrée aux applications bancaires d'Amérique du Nord, comme point de comparaison.
ZIP Exploitation: Critical Vulnerabilities in Popular Zip Libraries in Swift and Flutter(s'ouvre dans un nouvel onglet)
Cinq CVE dans des bibliothèques ZIP utilisées par des applications iOS et Flutter : un risque de dépendance dont vos propres applications peuvent hériter.
From Signal to the Android SDK: Chaining Path Traversal, Mimetype Confusion, Security Check Bypass(s'ouvre dans un nouvel onglet)
Une chaîne allant de Signal jusqu'au SDK Android. Signal a accusé réception du signalement en 3 heures et l'a corrigé ; aucune CVE n'a été attribuée.
Bypassing Mobile App Shielding: Where Detection Ends and Enforcement Fails(s'ouvre dans un nouvel onglet)
Cinq applications bancaires en production testées face à quatre produits commerciaux de protection applicative : là où la détection fonctionne mais où l'application des mesures échoue.
Inside BeatBanker / BTMOB: Static Analysis of a Multi-Stage Android Banking Malware Platform(s'ouvre dans un nouvel onglet)
Analyse statique d'une plateforme de malware bancaire Android en plusieurs étapes, le type de menace qui vise les téléphones de vos clients.
One Scheme to Rule Them All: OAuth Account Takeover(s'ouvre dans un nouvel onglet)
Détournement de schémas d'URL personnalisés menant à une prise de contrôle de compte, un scénario qui concerne les parcours de connexion bancaires mobiles.
zCamera, 100M+ installation app, from remote compromise to data leaks(s'ouvre dans un nouvel onglet)
De la compromission à distance aux fuites de données dans une application installée plus de 100 millions de fois.
Nos agents IA à l'œuvre
Vulnérabilités trouvées par notre moteur IA lors de tests d'intrusion agentiques, d'abord dans les applications mobiles, puis dans les API qui les servent.
Javascript Interface Exposure(s'ouvre dans un nouvel onglet)
Notre moteur IA a trouvé, dans une application Android, un pont JavaScript de WebView accessible via des liens profonds.
Going Beyond: Ostorlab AI Engine Discovers Unknown Vulnerability Classes(s'ouvre dans un nouvel onglet)
Le moteur IA a trouvé des classes de vulnérabilités qu'on ne lui avait pas demandé de chercher, dont un contournement de Safe Browsing dans une WebView.
AI-Powered Pentesting: A Deep Dive into Android Intent Redirection(s'ouvre dans un nouvel onglet)
Comment le moteur IA a trouvé une redirection d'intent Android et l'a prouvée avec une preuve de concept fonctionnelle.
AI Pentest Engine Discovers Critical WebSocket BFLA in GraphQL Subscriptions(s'ouvre dans un nouvel onglet)
Un contrôle d'accès défaillant dans les abonnements GraphQL d'une API backend : les serveurs derrière votre application mobile.
AI Engine Triggers Account Takeover via API Version Confusion(s'ouvre dans un nouvel onglet)
Une prise de contrôle de compte via un parcours de réinitialisation de mot de passe encore exposé sur une ancienne version de l'API.
Techniques
Articles pratiques pour les spécialistes de la sécurité mobile : obfuscation, instrumentation, rétro-ingénierie et pinning.
Bypassing Obfuscation in Android Apps: DalvikFLIRT and LLM-Powered Rewrites(s'ouvre dans un nouvel onglet)
Comment retrouver un code lisible dans des applications Android obfusquées grâce à la reconnaissance de signatures et à la réécriture par LLM.
Swift Under the Microscope: Practical Dynamic Instrumentation(s'ouvre dans un nouvel onglet)
Instrumentation dynamique du code Swift des applications iOS, en pratique.
Flutter Reverse Engineering and Security Analysis(s'ouvre dans un nouvel onglet)
Comment faire la rétro-ingénierie et l'évaluation d'applications développées avec Flutter.
Universal bypass of SSL Pinning, from theory to a full working PoC with LLDB(s'ouvre dans un nouvel onglet)
Un contournement universel du SSL pinning avec LLDB, de la théorie à une preuve de concept fonctionnelle.
Application Security Testing on non-Jailbroken iOS from Linux(s'ouvre dans un nouvel onglet)
Tester la sécurité d'applications iOS sur des appareils non jailbreakés, depuis un poste Linux.
Mapping Dependency Confusion: A Novel Detection Approach using Source Map Files(s'ouvre dans un nouvel onglet)
Une méthode de détection de la confusion de dépendances à partir des fichiers source map.
Benchmarks et applications de test
Applications volontairement vulnérables et benchmarks pour évaluer n'importe quel outil de sécurité mobile, y compris le nôtre.
Introducing Ostorlab Security Testing Benchmarks: Real Vulnerabilities, Real Impact(s'ouvre dans un nouvel onglet)
93 applications mobiles vulnérables fondées sur de vraies CVE et des découvertes de bug bounty, ouvertes à tous pour tester des outils.
Applications Android et iOS vulnérables
Des applications volontairement vulnérables que chacun peut utiliser comme cibles de test.
Ostorlab's Insecure Flutter Apps: A Playground for Learning and Testing Mobile Security(s'ouvre dans un nouvel onglet)
Des applications Flutter volontairement vulnérables, pour apprendre et tester des outils.
Open source
Les outils que nous développons et maintenons en open source.
Ostorlab/oxo(s'ouvre dans un nouvel onglet)
Notre orchestrateur open source de scans de sécurité : plus de 15 000 téléchargements PyPI par mois et 113 versions publiées ces 12 derniers mois.
Ostorlab/KEV(s'ouvre dans un nouvel onglet)
Une seule commande pour détecter les vulnérabilités activement exploitées, à partir de CISA KEV, Tsunami et Asteroid.
Ostorlab/agent_asteroid(s'ouvre dans un nouvel onglet)
L'agent de détection de vulnérabilités à distance sur lequel repose KEV.
Intégrations CI
Analysez chaque version depuis GitHub Actions, Azure DevOps ou GitLab CI.
Et plus de 30 agents open source, dont Nmap, ZAP, Nuclei, Tsunami, OpenVAS, Semgrep et TruffleHog.Parcourir les agents (s'ouvre dans un nouvel onglet)
Découvrez ce que nos recherches trouvent dans votre application
Les tests d'intrusion agentiques d'Ostorlab s'appuient sur ces recherches pour tester chaque version de votre application mobile.