Uso Incorrecto de Credenciales
API keys, passwords o tokens hardcodeados directamente en el código fuente de la app móvil — fácilmente extraíbles al decompilar el bundle.
Cómo Funciona
Las apps móviles se distribuyen como paquetes que pueden ser decompilados. Cualquier credencial hardcodeada en el código es trivialmente extraíble. Esto incluye API keys, config de Firebase, tokens de backend o passwords de base de datos en el código. Los atacantes usan herramientas como jadx (Android) o class-dump (iOS) para extraer estos secretos en minutos. A diferencia del código de servidor, el código móvil corre en el dispositivo del atacante.
// config.ts
export const API_KEY = 'sk_live_abc123xyz';
export const DB_PASSWORD = 'supersecret';
export const STRIPE_KEY = 'sk_live_stripe_key';// config.ts
import Config from 'react-native-config';
export const API_KEY = Config.API_KEY;
// Keys stored in .env, not committed to repo
// Sensitive ops happen on the backend, not mobileEjemplo Real
En 2022, investigadores encontraron miles de apps móviles en Google Play con credenciales AWS hardcodeadas. Una sola app expuso acceso a buckets S3 con 10 millones de registros de usuarios. Las keys se encontraron con simples búsquedas de strings en el APK decompilado.
Cómo Prevenirlo
- Nunca hardcodees secretos en código fuente móvil
- Usa variables de entorno cargadas en build time
- Mueve operaciones sensibles a APIs de backend
- Usa almacenamiento seguro de la plataforma (Keychain/Keystore)
Tecnologías Afectadas
Data Hogo detecta esta vulnerabilidad automáticamente.
Escanea Tu Repo GratisVulnerabilidades Relacionadas
Seguridad de Cadena de Suministro Móvil
mediumSDKs vulnerables, librerías nativas desactualizadas o módulos de terceros comprometidos introducen riesgos de seguridad desde tus dependencias.
Autenticación/Autorización Insegura
highApps móviles con autenticación débil — guardando sesiones de forma insegura, sin refresh de tokens o checks de autorización solo en el cliente.
Validación Insuficiente de Input/Output
mediumApps móviles que no validan input de usuario o sanitizan output son vulnerables a ataques de inyección, corrupción de datos y comportamiento inesperado.
Comunicación Insegura
highLa app móvil transmite datos sensibles por HTTP en vez de HTTPS, o acepta certificados SSL inválidos — habilitando ataques man-in-the-middle en WiFi público.