Rapport 2025 sur la sécurité des applications bancaires mobiles
Les résultats de plus de 500 applications bancaires mobiles : quelles protections sont en place et où se trouvent les lacunes. Rapport PDF inclus.
Recherche
Recherches originales en sécurité par Ostorlab
Études sur la sécurité mobile et bancaire, vulnérabilités que nous avons divulguées, découvertes de nos agents IA et outils open source que nous maintenons. Chaque élément renvoie à l'article complet ou au code, pour que votre équipe puisse vérifier les détails.
Éléments affichés : 39
Recherches originales
Études des applications bancaires mobiles, vulnérabilités trouvées et signalées, et recherche sur les malwares bancaires.
Série de rapports bancaires
La sécurité des applications bancaires mobiles, étudiée dans la durée
Deux éditions de notre étude des applications bancaires mobiles. Lisez-les ensemble pour voir comment évoluent les protections et les faiblesses courantes.
Security Landscape of Mobile Banking Applications in North America(s'ouvre dans un nouvel onglet)
L'édition précédente, consacrée aux applications bancaires d'Amérique du Nord, comme point de comparaison.
Keycloak: Unauthenticated Denial of Service via Oversized SAML dateTime and Duration Values(s'ouvre dans un nouvel onglet)
Les valeurs dateTime et duration surdimensionnées dans les messages SAML sont analysées sans limite de longueur, ce qui permet à un attaquant non authentifié de saturer le processeur du serveur et de provoquer un déni de service pour tous les utilisateurs.
llama.cpp: Denial of Service via Oversized recv_msg Length in ggml-rpc Server(s'ouvre dans un nouvel onglet)
Une exception std::length_error non interceptée dans recv_msg() de ggml-rpc termine le processus serveur via std::terminate lors de la réception d'un en-tête de longueur de message dépassant max_size() du vecteur.
llama.cpp: Stack-Based Buffer Overflow in ggml-rpc RDMA rdma_recv(s'ouvre dans un nouvel onglet)
Un débordement de tampon sur la pile dans le transport RDMA de ggml-rpc permet à des attaquants distants non authentifiés d'exécuter du code ou de provoquer un déni de service via des complétions verbs surdimensionnées dans rdma_recv().
Assimp: Heap Out-of-Bounds Read via MD2 Importer Integer Overflow(s'ouvre dans un nouvel onglet)
Un dépassement d'entier dans MD2Importer::ValidateHeader() d'Assimp permet à des attaquants de contourner les vérifications de limites de la table de trames via des valeurs numFrames et numVertices manipulées, provoquant une lecture hors limites sur le tas.
LibreSSL: CRLF Injection, Cleartext Transmission, and Memory Exhaustion in OCSP(s'ouvre dans un nouvel onglet)
Quatre CVE identifiées dans LibreSSL couvrant l'injection CRLF dans libcrypto et ocspcheck, la transmission en texte clair des requêtes OCSP via HTTP non chiffré, et l'épuisement de la mémoire par des réponses non bornées du répondeur.
OpenImageIO: Cineon Reader Heap Out-of-Bounds Read(s'ouvre dans un nouvel onglet)
Bouclage d'entier identifié dans l'allocation de ligne de balayage du codec Cineon d'OpenImageIO, entraînant une sous-allocation de tas et une lecture hors limites lors de la décompression.
VLC for Android: Confused-Deputy File Overwrite via Spoofed Mail Attachment Provider(s'ouvre dans un nouvel onglet)
Écrasement de fichiers par confused deputy dans VLC pour Android : une application sans permissions peut usurper le fournisseur de pièces jointes de K-9 Mail et faire écraser à VLC des fichiers du dossier Download partagé lorsqu'il dispose de l'accès à tous les fichiers.
Chatwoot: Stored XSS via Help Center Video Embed Links(s'ouvre dans un nouvel onglet)
XSS stockée dans le rendu des liens d'intégration vidéo du Centre d'aide de Chatwoot : des destinations de lien avec chevrons et guillemets doubles sortent de l'attribut src de l'iframe non échappé dans render_embed_from_match, exécutant du script pour les visiteurs publics et exposant les jetons du widget.
HarfBuzz: Out-of-Bounds Write and DoS in WebAssembly Shaper(s'ouvre dans un nouvel onglet)
Deux CVE identifiées dans HarfBuzz couvrant une écriture hors limites et un déréférencement de pointeur NULL (déni de service) dans le moteur de façonnage WebAssembly.
Keycloak: Stored XSS on the Login Page via kcSanitize Bypass(s'ouvre dans un nouvel onglet)
XSS stockée identifiée dans le rendu du thème de connexion de Keycloak : le post-traitement fixURLs() réactive des références de caractères neutralisées par kcSanitize, exécutant du script sur la page de connexion pré-authentification pour tous les utilisateurs du realm.
Poppler: Stack-Based Buffer Overflow in Decrypt::revision6Hash(s'ouvre dans un nouvel onglet)
Débordement de tampon sur la pile identifié dans Decrypt::revision6Hash de Poppler, permettant une corruption de la mémoire lors de l'ouverture de fichiers PDF chiffrés en AESV3/R6.
Breaking Down GoPhish: Source-Code Assessment with Ostorlab Agentic Deep Scan(s'ouvre dans un nouvel onglet)
Cinq CVE identifiées dans GoPhish couvrant SSRF, XSS, contournement de limite de requêtes et prise de contrôle d'objets grâce à Ostorlab Agentic Deep Scan.
ZIP Exploitation: Critical Vulnerabilities in Popular Zip Libraries in Swift and Flutter(s'ouvre dans un nouvel onglet)
Cinq CVE dans des bibliothèques ZIP utilisées par des applications iOS et Flutter : un risque de dépendance dont vos propres applications peuvent hériter.
From Signal to the Android SDK: Chaining Path Traversal, Mimetype Confusion, Security Check Bypass(s'ouvre dans un nouvel onglet)
Une chaîne allant de Signal jusqu'au SDK Android. Signal a accusé réception du signalement en 3 heures et l'a corrigé ; aucune CVE n'a été attribuée.
Bypassing Mobile App Shielding: Where Detection Ends and Enforcement Fails(s'ouvre dans un nouvel onglet)
Cinq applications bancaires en production testées face à quatre produits commerciaux de protection applicative : là où la détection fonctionne mais où l'application des mesures échoue.
Inside BeatBanker / BTMOB: Static Analysis of a Multi-Stage Android Banking Malware Platform(s'ouvre dans un nouvel onglet)
Analyse statique d'une plateforme de malware bancaire Android en plusieurs étapes, le type de menace qui vise les téléphones de vos clients.
One Scheme to Rule Them All: OAuth Account Takeover(s'ouvre dans un nouvel onglet)
Détournement de schémas d'URL personnalisés menant à une prise de contrôle de compte, un scénario qui concerne les parcours de connexion bancaires mobiles.
zCamera, 100M+ installation app, from remote compromise to data leaks(s'ouvre dans un nouvel onglet)
De la compromission à distance aux fuites de données dans une application installée plus de 100 millions de fois.
Nos agents IA à l'œuvre
Vulnérabilités trouvées par notre moteur IA lors de tests d'intrusion agentiques, d'abord dans les applications mobiles, puis dans les API qui les servent.
Javascript Interface Exposure(s'ouvre dans un nouvel onglet)
Notre moteur IA a trouvé, dans une application Android, un pont JavaScript de WebView accessible via des liens profonds.
Going Beyond: Ostorlab AI Engine Discovers Unknown Vulnerability Classes(s'ouvre dans un nouvel onglet)
Le moteur IA a trouvé des classes de vulnérabilités qu'on ne lui avait pas demandé de chercher, dont un contournement de Safe Browsing dans une WebView.
AI-Powered Pentesting: A Deep Dive into Android Intent Redirection(s'ouvre dans un nouvel onglet)
Comment le moteur IA a trouvé une redirection d'intent Android et l'a prouvée avec une preuve de concept fonctionnelle.
AI Pentest Engine Discovers Critical WebSocket BFLA in GraphQL Subscriptions(s'ouvre dans un nouvel onglet)
Un contrôle d'accès défaillant dans les abonnements GraphQL d'une API backend : les serveurs derrière votre application mobile.
AI Engine Triggers Account Takeover via API Version Confusion(s'ouvre dans un nouvel onglet)
Une prise de contrôle de compte via un parcours de réinitialisation de mot de passe encore exposé sur une ancienne version de l'API.
Techniques
Articles pratiques pour les spécialistes de la sécurité mobile : obfuscation, instrumentation, rétro-ingénierie et pinning.
Bypassing Obfuscation in Android Apps: DalvikFLIRT and LLM-Powered Rewrites(s'ouvre dans un nouvel onglet)
Comment retrouver un code lisible dans des applications Android obfusquées grâce à la reconnaissance de signatures et à la réécriture par LLM.
Swift Under the Microscope: Practical Dynamic Instrumentation(s'ouvre dans un nouvel onglet)
Instrumentation dynamique du code Swift des applications iOS, en pratique.
Flutter Reverse Engineering and Security Analysis(s'ouvre dans un nouvel onglet)
Comment faire la rétro-ingénierie et l'évaluation d'applications développées avec Flutter.
Universal bypass of SSL Pinning, from theory to a full working PoC with LLDB(s'ouvre dans un nouvel onglet)
Un contournement universel du SSL pinning avec LLDB, de la théorie à une preuve de concept fonctionnelle.
Application Security Testing on non-Jailbroken iOS from Linux(s'ouvre dans un nouvel onglet)
Tester la sécurité d'applications iOS sur des appareils non jailbreakés, depuis un poste Linux.
Mapping Dependency Confusion: A Novel Detection Approach using Source Map Files(s'ouvre dans un nouvel onglet)
Une méthode de détection de la confusion de dépendances à partir des fichiers source map.
Benchmarks et applications de test
Les résultats d’exploitation vérifiée de Neutron sur CyberGym de l’UC Berkeley, ainsi que des benchmarks ouverts et des applications volontairement vulnérables que votre équipe peut utiliser pour évaluer les outils de sécurité.
Ostorlab Neutron on UC Berkeley CyberGym(s'ouvre dans un nouvel onglet)
Neutron a atteint un taux d’exploitation vérifiée de 97,1 % sur CyberGym de l’UC Berkeley : 1 463 tâches sur 1 507 portant sur des vulnérabilités connues dans des projets C/C++ open source. Consultez notre analyse technique pour connaître la configuration de l’exécution, la méthodologie et les résultats.
Introducing Ostorlab Security Testing Benchmarks: Real Vulnerabilities, Real Impact(s'ouvre dans un nouvel onglet)
Un jeu de données de test ouvert de 93 applications mobiles vulnérables, basé sur de vrais CVE et des résultats de bug bounty. Utilisez ces cibles reproductibles pour évaluer les outils de sécurité mobile.
Applications Android et iOS vulnérables
Des applications volontairement vulnérables que chacun peut utiliser comme cibles de test.
Ostorlab's Insecure Flutter Apps: A Playground for Learning and Testing Mobile Security(s'ouvre dans un nouvel onglet)
Des applications Flutter volontairement vulnérables, pour apprendre et tester des outils.
Open source
Les outils que nous développons et maintenons en open source.
Ostorlab/oxo(s'ouvre dans un nouvel onglet)
Notre orchestrateur open source de scans de sécurité : plus de 15 000 téléchargements PyPI par mois et 113 versions publiées ces 12 derniers mois.
Ostorlab/KEV(s'ouvre dans un nouvel onglet)
Une seule commande pour détecter les vulnérabilités activement exploitées, à partir de CISA KEV, Tsunami et Asteroid.
Ostorlab/agent_asteroid(s'ouvre dans un nouvel onglet)
L'agent de détection de vulnérabilités à distance sur lequel repose KEV.
Intégrations CI
Analysez chaque version depuis GitHub Actions, Azure DevOps ou GitLab CI.
Et plus de 30 agents open source, dont Nmap, ZAP, Nuclei, Tsunami, OpenVAS, Semgrep et TruffleHog.Parcourir les agents (s'ouvre dans un nouvel onglet)
Découvrez ce que nos recherches trouvent dans votre application
Les tests d'intrusion agentiques d'Ostorlab s'appuient sur ces recherches pour tester chaque version de votre application mobile.