Configuración Insegura (Móvil)
La app móvil sale con modo debug habilitado, permisos excesivos, activities exportadas o backup permitido — exponiendo datos y funcionalidad a otras apps.
Cómo Funciona
La configuración insegura móvil incluye modo debug habilitado en builds de release, pedir permisos innecesarios, componentes Android exportados sin protección, permitir backup de datos de la app, o no usar las features de seguridad más recientes. El modo debug puede exponer logging, habilitar ejecución de código arbitrario y bypasear checks de seguridad. Permisos excesivos dan a la app (y a cualquier atacante que la comprometa) acceso a recursos sensibles del dispositivo.
<!-- AndroidManifest.xml -->
<application
android:debuggable="true"
android:allowBackup="true">
<activity
android:name=".AdminActivity"
android:exported="true" /><!-- AndroidManifest.xml -->
<application
android:debuggable="false"
android:allowBackup="false">
<activity
android:name=".AdminActivity"
android:exported="false" />Ejemplo Real
En 2020, una app de pagos popular en India (Paytm) fue encontrada con android:debuggable=true en su build de producción. Esto permitía a atacantes adjuntar un debugger, inspeccionar memoria y potencialmente extraer información sensible de pagos.
Cómo Prevenirlo
- Siempre configura debuggable=false en builds de release
- Solicita solo permisos necesarios
- Configura exported=false para componentes internos
- Deshabilita android:allowBackup o encripta datos de backup
Tecnologías Afectadas
Data Hogo detecta esta vulnerabilidad automáticamente.
Escanea Tu Repo GratisVulnerabilidades Relacionadas
Uso Incorrecto de Credenciales
criticalAPI keys, passwords o tokens hardcodeados directamente en el código fuente de la app móvil — fácilmente extraíbles al decompilar el bundle.
Seguridad de Cadena de Suministro Móvil
mediumSDKs vulnerables, librerías nativas desactualizadas o módulos de terceros comprometidos introducen riesgos de seguridad desde tus dependencias.
Autenticación/Autorización Insegura
highApps móviles con autenticación débil — guardando sesiones de forma insegura, sin refresh de tokens o checks de autorización solo en el cliente.
Validación Insuficiente de Input/Output
mediumApps móviles que no validan input de usuario o sanitizan output son vulnerables a ataques de inyección, corrupción de datos y comportamiento inesperado.