Naar de inhoud
HackIndex
Menu

Je app staat op duizenden telefoons. Ook op die van een aanvaller.

Een pentest van je iOS- en Android-app en de API erachter. Iedereen kan je app downloaden en bekijken wat erin zit. Met deze test weet jij het eerder dan een aanvaller.

Pentest aanvragen Wat kost het?
  • iOS en Android
  • Inclusief de API
  • Extra kennis van React Native

Wanneer

Herken je dit?

  • De app gaat voor het eerst de store in.

    Een fout die je voor de release vindt, staat nooit op duizenden telefoons.

  • Er zitten betalingen of gezondheidsgegevens in.

    Hoe gevoeliger de gegevens, hoe belangrijker dat app en API kloppen.

  • De app is gebouwd met React Native.

    Wat er in de app zit, is voor iedereen te bekijken. Ook sleutels die daar niet horen.

  • De API is er alleen voor de app.

    Een aanvaller gebruikt je app niet, maar praat direct met de API.

Scope

Van telefoon tot server

Een app-pentest kijkt naar vier lagen. De API zit er altijd bij, want daar zitten vaak de ernstigste fouten.

Telefoon

App

Verbinding

Server

Wat de test beantwoordt

Opslag op de telefoon

Wat blijft er achter op het toestel?

  • Inloggegevens en persoonsgegevens die onbeschermd zijn opgeslagen
  • Gegevens die blijven staan na uitloggen
  • Gevoelige schermen in het overzicht van open apps

Wat de test beantwoordt

De app zelf

Wat vind je als je in de app kijkt?

  • Sleutels en wachtwoorden die in de app zijn meegeleverd
  • Verborgen test- en debugfuncties
  • Hoe goed de app zich beschermt tegen aanpassen

Wat de test beantwoordt

Links naar de app

Kan een link de app iets laten doen?

  • Acties die via een link starten zonder bevestiging
  • Webpagina's binnen de app die te veel mogen

Wat de test beantwoordt

De verbinding

Kan iemand meekijken op hetzelfde wifi?

  • Of alle verbindingen versleuteld zijn
  • Gegevens die verstuurd worden maar niet nodig zijn
  • Externe diensten in de app die meelezen

Wat de test beantwoordt

De API

Wat gebeurt er als je de app overslaat?

  • Gegevens van andere gebruikers opvragen
  • Controles die alleen in de app zitten en niet op de server
  • Oude versies van de API die nog werken

Wat de test beantwoordt

Inloggen

Hoe lang blijft iemand binnen?

  • Sessies die nooit verlopen
  • Uitloggen dat niet echt uitlogt
  • Codes per sms of e-mail die te raden zijn

Uit een rapport

Zo ziet een bevinding eruit

Per bevinding wat er mis is, het bewijs, wat het betekent en hoe je het oplost.

Referentie
HI-OP-2026-R7KD-01
Ernst
Kritiek
CVSS
4.0 9.3 AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
3.1 9.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Waar
iOS- en Android-app
Wie kan dit
Iedereen, zonder account
Hertest
Opgelost

De geheime sleutel van de betaalprovider zit in de app

De app praat zelf met de betaalprovider, met een sleutel die alleen op de server hoort.

Bewijs

  1. De app downloaden uit de store, zonder account.
  2. De geheime sleutel van de betaalprovider staat in de app.
  3. Met die sleutel kan buiten de app om een terugbetaling worden gedaan.

Impact

Iedereen kan geld naar zichzelf terugstorten en klantgegevens bij de betaalprovider inzien. De sleutel moet worden ingetrokken en de app opnieuw uitgebracht.

Oplossing

src/api/payments.ts

Verwijderd: await paymentProvider(SECRET_KEY).refund(paymentId);
Toegevoegd: await api.post(`/orders/${orderId}/refund`);

Fictief voorbeeld. Echte bevindingen blijven vertrouwelijk.

Bekijk het voorbeeldrapport

Duidelijk vooraf

Wat er wel en niet in zit

WEL Onderdeel van de opdracht

  • De iOS- en Android-versie van je app
  • De API die de app gebruikt
  • Opslag op de telefoon en de verbinding met de server
  • Een rapport en een nabespreking

NIET Valt erbuiten

  • Je website of webapp, die kan erbij als web- en API-pentest
  • Infrastructuur, zoals servers en hosting. Kan op aanvraag, met een eigen prijs
  • De App Store en Play Store, en hun keuring
  • Diensten van anderen, buiten hoe jouw app ze gebruikt

Prijs

Wat kost het?

Na de intake krijg je een vaste prijs. Deze punten bepalen de omvang.

vanaf, excl. btw

€ 2.250

Vaste prijs, zonder nacalculatie

  • Platformen Eén platform of allebei. Bij React Native of Flutter scheelt gedeelde code tijd.
  • De API erachter Hoeveel functies en rollen de API heeft.
  • Gevoelige onderdelen Betalingen of gezondheidsgegevens vragen meer diepgang.

Voorbereiding

Wat je aanlevert

Hoe beter dit klaarstaat, hoe meer tijd er naar het testen zelf gaat.

  • Nodig Testbuilds Een TestFlight-uitnodiging voor iOS en een installatiebestand voor Android.
  • Nodig Een testaccount per rol Met testbetalingen als dat relevant is.
  • Optioneel Een testomgeving van de API Los van echte gebruikers. Geen testomgeving? HackIndex zet een kopie van de API op, voor gangbare opzetten zonder meerprijs. Beveiliging die testverkeer blokkeert, staat uit voor HackIndex.

Combineren

Meer dekking in één opdracht

Deze dienst

App-pentest

vanaf € 2.250

Je app en de API erachter.

Erbij

Web- en API-pentest

vanaf € 1.950

Heb je naast de app een webapplicatie op dezelfde API? Samen testen scheelt tijd, de API hoeft maar één keer verkend te worden.

Meer over Web- en API-pentest

Veelgestelde vragen

Moet de app al in de store staan?

Nee. Testbuilds zijn genoeg, en eigenlijk beter: dan wordt er getest voordat gebruikers de app hebben.

Waarom zit de API er altijd bij?

Een aanvaller praat niet met je app maar direct met de API. Daar zitten vaak de ernstigste fouten.

De app heeft extra beveiliging. Is dat genoeg?

Het maakt aanvallen lastiger, maar is meestal te omzeilen. De test laat zien wat er daarna nog te halen is.

Wat als er iets kritieks wordt gevonden?

Dan hoor je het meteen. Een gelekte sleutel kun je zo direct intrekken.

Laat je app testen.

Vertel welke platformen en wat de app doet. Je ontvangt een voorstel met een vaste prijs.

Pentest aanvragen

Andere diensten