OWASP Mobile Top 10 (2026): los 10 riesgos que más vemos en apps móviles
Una lista priorizada para que tu equipo sepa qué mirar primero. No todos los OWASP Top se traducen directamente a MASVS — aquí va la versión práctica.
El OWASP Mobile Top 10 es una lista priorizada de los 10 riesgos más comunes en apps móviles. Se publica como guía para que equipos de desarrollo, producto y seguridad sepan en qué poner atención primero. Esta es la versión 2026 que más vemos en auditorías reales.
M1 — Uso inapropiado de credenciales y autenticación
Tokens sin expiración, sin revocación, sin rotación. MFA no resistente a phishing. OTP reutilizable. El atacante se queda con sesiones válidas sin pedir la contraseña de nuevo.
SharedPreferences sin cifrar, con expiración de 30 días y sin refresh tokens. Un dump ADB y el atacante entra.M2 — Privacidad y telemetría insegura
SDKs de analytics que recolectan PII sin consentimiento ni aviso. Datos sensibles en logs. Análisis que viajan a terceros fuera del país de origen.
M3 — Criptografía débil o mal aplicada
MD5, SHA-1, DES, AES en modo ECB. Claves derivadas del propio dispositivo. IVs estáticos, nonce reutilizado. Implementaciones caseras en lugar de la plataforma.
M4 — Autorización solo en el cliente
El backend confía en lo que dice la app. RLS permisiva en Supabase/Firebase. Endpoints sin verificación de rol. Modificar SharedPreferences o el APK y se cambia el precio, el rol o el saldo.
M5 — Comunicación insegura
usesCleartextTraffic=true, ausencia de certificate pinning, credenciales en query string, headers con PII.
M6 — Manejo inseguro de permisos
Permisos excesivos no justificados (ubicación, SMS, contactos, micrófono, calendario). Pedidos en runtime sin explicación al usuario. Falsa sensación de control.
M7 — Componentes exportados inseguros
Activities, receivers, providers y services exported=true sin permission. Deeplinks app:// sin validación. PendingIntent mutable. FileProvider con grantUriPermissions abiertos.
M8 — Integridad del binario y de la red
Firma con certificado debug. Ausencia de verificación de firma en runtime. debuggable=true en release. allowBackup=true que extrae la DB.
M9 — Almacenamiento inseguro
Datos sensibles en almacenamiento local sin cifrar (token, RUT, email, teléfono, saldo). Logs que imprimen respuestas de API. Capturas de pantalla con FLAG_SECURE ausente.
M10 — Calidad del código y de las dependencias
Dependencias con CVEs conocidas, print/debugPrint en release, ausencia de ofuscación cuando el modelo lo exige, errores con datos sensibles expuestos al usuario.
Cómo se relacionan con MASVS
Cada riesgo del Top 10 mapea a uno o más controles MASVS. La auditoría profesional los entrega juntos:
| Riesgo Top 10 | Grupo MASVS |
|---|---|
| M1 Autenticación | AUTH |
| M2 Privacidad | PRIVACY |
| M3 Cripto | CRYPTO |
| M4 Autorización | AUTH |
| M5 Comunicación | NETWORK |
| M6 Permisos | PLATFORM |
| M7 Exportados | PLATFORM |
| M8 Integridad | PLATFORM / CODE / RESILIENCE |
| M9 Almacenamiento | STORAGE |
| M10 Código/dependencias | CODE |
El siguiente paso: ver dónde cae tu app
Si tu app es Android, podemos decirte en una semana exactamente cuáles de estos 10 riesgos tienes, con evidencia reproducible y código de corrección. Sin jerga, con un resumen para dirección.
¿Tu app aguanta una auditoría?
Te respondemos en menos de 24 h con una propuesta clara, sin compromiso.
Quiero proteger mi app