Sécurité offensive

Tests d’intrusion mobile

Garantissez la sécurité de vos apps iOS et Android avant qu’elles ne tombent entre de mauvaises mains. Les applications mobiles concentrent authentification, données sensibles et accès aux capteurs de l’appareil. Un seul défaut de stockage, de chiffrement ou de logique API suffit à exposer vos utilisateurs comme votre marque. Le pentest mobile Digitemis reproduit les techniques d’un attaquant (du reverse engineering de l’APK jusqu’au détournement de profils MDM) et traduit chaque faille en plan d’actions.

Logo

Pourquoi tester vos applications mobiles ?

Le marché impose des mises à jour fréquentes ; pourtant, chaque nouvelle fonctionnalité peut introduire un risque : jeton stocké hors du Keystore ou du Keychain, base SQLite accessible, endpoint GraphQL sans contrôle d’accès, attestation d’intégrité contournée. Un pentest mobile met en évidence ces scénarios, mesure l’impact pour l’activité (vol de données, fraude in-app, pivot vers vos API) et fournit des correctifs exploitables par vos équipes produit et sécurité. Le rapport, qui rattache chaque constat aux exigences de l’OWASP MASVS, sert aussi à rassurer vos clients et partenaires. Côté web, la démarche est détaillée dans notre audit de sécurité d’une application web.

Périmètre d’un test d’intrusion mobile

L’application mobile et les services associés.

Schéma d’un test d’intrusion mobile : l’auditeur Digitemis teste l’application mobile, l’objet connecté qu’elle pilote et les services du réseau client joints par Internet.

Notre méthodologie

Nos tests suivent l’OWASP Mobile Application Security Testing Guide (MASTG). Ils commencent par la décompilation de l’application et son analyse statique (secrets, stockage local, bibliothèques), se poursuivent par l’examen des flux réseau, puis par l’exploitation manuelle : injection dans les WebViews, contournement de la détection du jailbreak ou du root, altération des appels API. Chaque preuve d’impact est horodatée et documentée. Digitemis est qualifié PASSI LPM par l’ANSSI.

  1. Avant les tests

    Cadrage

    Contacts, objectifs, périmètre et planning, contraintes techniques ; fiche d’autorisation et mot de passe pour les échanges sécurisés.

    Livrable : compte rendu de la réunion de lancement

  2. Deux consultants au minimum

    Tests d’intrusion

    Identification des services utilisés, analyse du trafic et des protocoles, recherche de vulnérabilités, attaques sur les API et services web.

  3. Après les tests

    Synthèse

    Synthèse managériale, schéma des principaux scénarios d’intrusion le cas échéant, plan d’action priorisé avec la charge de chaque recommandation, détail technique des vulnérabilités.

    Livrable : rapport, support de restitution, procès-verbal de livraison

Une vulnérabilité critique découverte pendant les tests vous est signalée sans délai. En option, un contre-audit vérifie la correction des failles. Également en option : audit d’architecture et audit de configuration de l’environnement testé.

Cas d’usage fréquents

  • Apps grand public

    Portails e-commerce, fintech, santé : validation des parcours d’inscription, paiement, support in-app.

  • Apps métier internes

    BYOD / MDM, gestion de stock, signature de rapport : contrôle du container, fuite de données hors OS.

  • API / services back-end

    Tests d’autorisation horizontale et verticale, fuzzing d’endpoints, validation du taux limite et des scopes OAuth.

Ils nous font confiance

informations

Contactez-nous

Besoin d’un test d’intrusion mobile ? Remplissez le formulaire, nous reviendrons vers vous rapidement pour un premier échange.

    *Informations obligatoires

    Les informations recueillies à partir de ce formulaire sont traitées par Digitemis pour donner suite à votre demande de contact. Pour connaître et/ou exercer vos droits, référez-vous à la politique de Digitemis sur la protection des données, cliquez ici.

    Expertises liées

    Pentests

    Tests d’intrusion externes

    Exposez vos vulnérabilités pour mieux les corriger : applications web ou mobiles, API, portails VPN, équipements industriels accessibles… Chaque actif ouvert sur Internet peut devenir le point d’entrée d’un attaquant déterminé. Le pentest externe Digitemis reproduit ses méthodes – collecte OSINT, scans furtifs, exploitation manuelle, contournement des IDS/IPS – afin de mesurer l’impact réel d’une compromission et de remettre à vos équipes un plan d’actions immédiatement exploitable.

    PMEETIgrands comptes

    Pentests

    Tests d’intrusion internes

    Une compromission de poste, un accès prestataire trop large ou un VLAN mal cloisonné suffit à transformer votre réseau interne en autoroute pour les attaquants. Notre pentest interne reproduit ces trajectoires : déplacement latéral, élévation de privilèges, persistance, exfiltration. Vous savez précisément jusqu’où un intrus pourrait aller – et comment l’arrêter.

    PMEETIgrands comptes

    Pentests

    Tests d’intrusion web

    Repérez les failles avant qu’elles ne se transforment en incident. Portail client, back-office ou API publique : la plus petite erreur de logique peut exposer des données sensibles. Nos pentesters reproduisent les techniques actuelles – du XSS au contournement complet d’autorisation – et livrent un plan de remédiation clair, priorisé et chiffré.

    PMEETIgrands comptes

    Pentests

    Audit Red Team

    Pendant plusieurs semaines, nos opérateurs rejouent le cycle complet d’un adversaire structuré : collecte OSINT, intrusion physique ou logique, latéralisation, persistance furtive, exfiltration contrôlée. Vous mesurez la solidité de vos défenses techniques, la vigilance humaine et la réactivité de vos processus SOC / RSSI ; vous repartez surtout avec une feuille de route chiffrée, priorisée, prête pour le COMEX.

    ETIgrands comptes

    FAQ

    Questions fréquentes

    Si vous avez d’autres questions, n’hésitez pas à nous contacter directement !

    contactez-nous
    Quelle est la durée moyenne d’un pentest mobile ?

    Comptez de cinq à huit jours ouvrés pour une application iOS ou Android, selon la complexité fonctionnelle et le nombre de rôles utilisateurs.

    Les deux : l’audit inclut les API et services qui dialoguent avec l’application, afin d’évaluer leur cohérence et leurs contrôles d’accès.

    Non : une version de recette de l’application suffit (APK, ou IPA sans le chiffrement de l’App Store). Si vous partagez le code, l’analyse s’enrichit et permet de gagner du temps.

    Les éléments collectés sont chiffrés, conservés en France le temps de la mission, puis supprimés, ou plus tôt sur demande.

    cas client

    Découvrez notre approche

    cas client

    Découvrez notre approche projet

    Nos articles sur le sujet

    Test d’intrusion (pentest) : testez vos failles avant les hackersPentest et sécurité : tout savoir sur les tests d’intrusionHacking éthique : pourquoi faire appel à un hacker légal ?Test d’intrusion mobile et API : ce que couvre vraiment un auditTests d’intrusion physique : méthodes approfondies, exemples concrets et pistes de renforcementTests d’intrusion automatisés vs pentesters humains