Qué es el OWASP Mobile Top 10, MASVS y MASTG

En seguridad web la aplicación vive en un servidor; aquí viaja en el bolsillo de cada cliente, en un aparato que usted no controla. Antes de entrar en M1, esta lección le da el mapa: qué es la lista, de dónde viene, por qué importa y qué palabras usará en todo el curso.

Qué es el OWASP Mobile Top 10

En una frase: el OWASP Mobile Top 10 es la lista de los diez riesgos de seguridad más importantes de las aplicaciones móviles, publicada de forma abierta por OWASP.

OWASP (Open Worldwide Application Security Project, antes Open Web Application Security Project) es una fundación sin fines de lucro que publica guías, estándares y herramientas libres de seguridad de software. Sus listas "Top 10" no son normas obligatorias, sino documentos de concientización: le dicen a un equipo dónde se equivoca más la industria para que empiece por ahí. La edición vigente al momento de escribir este curso es la 2024:

Identificador	Riesgo
M1	Uso indebido de credenciales
M2	Seguridad inadecuada de la cadena de suministro
M3	Autenticación y autorización inseguras
M4	Validación insuficiente de entradas y salidas
M5	Comunicación insegura
M6	Controles de privacidad inadecuados
M7	Protecciones binarias insuficientes
M8	Configuración de seguridad incorrecta
M9	Almacenamiento de datos inseguro
M10	Criptografía insuficiente

Breve historia

Año	Hito
2001	Nace OWASP como comunidad abierta de seguridad de aplicaciones web.
2007–2008	Llegan el iPhone, la App Store y el primer teléfono Android: las apps pasan a manejar banca, salud y ubicación.
2014 y 2016	Ediciones del Mobile Top 10 que se convirtieron en la referencia del sector durante casi una década.
2017–2018	OWASP publica las primeras versiones del estándar de verificación (MASVS) y de su guía de pruebas.
2023	El MASVS 2.0 reorganiza los controles en grupos; la guía de pruebas pasa a llamarse MASTG.
2024	Se publica el Mobile Top 10 2024, tras un proceso público de revisión.

Entre las novedades de 2024, la cadena de suministro (M2) y la privacidad (M6) entran como riesgos propios: buena parte de una app moderna son bibliotecas de terceros, y leyes como la Ley 8968 de Costa Rica exigen cuidar lo que se recolecta. OWASP actualiza estas listas cada varios años, así que revise el sitio oficial cuando lea esto.

MASVS y MASTG: el estándar y el manual

El Top 10 es un mapa, no una lista de pruebas. Para el trabajo diario OWASP mantiene el proyecto MAS (Mobile Application Security), con dos documentos que usará en todo el curso:

• MASVS (Mobile Application Security Verification Standard, "estándar de verificación"): dice qué debe cumplir una app. Se organiza en grupos como MASVS-STORAGE, MASVS-CRYPTO, MASVS-AUTH, MASVS-NETWORK, MASVS-PLATFORM, MASVS-CODE, MASVS-RESILIENCE y MASVS-PRIVACY.
• MASTG (Mobile Application Security Testing Guide, "guía de pruebas"): explica cómo comprobar cada requisito en Android y en iOS, con técnicas, herramientas y apps de práctica.

Para recordarlo: el Top 10 le dice dónde mirar, el MASVS qué exigir y el MASTG cómo verificarlo.

Por qué importa

Una app de banca, de salud o de pagos SINPE concentra datos que valen dinero. Y tiene tres rasgos que se repiten en todos los riesgos:

1. El binario es público. Cualquiera puede descargar el instalador, abrirlo y leer su contenido.
2. El dispositivo no es de confianza. Puede estar desactualizado, rooteado por su dueño o tener otras apps que intentan hablar con la suya.
3. El servidor sigue siendo la última palabra. Las decisiones importantes, como quién puede ver qué, se toman en el backend.

Lo usan a diario quien desarrolla apps, quien revisa código o hace QA, los equipos de seguridad de aplicaciones y los analistas que investigan una filtración. Si nadie en el equipo domina estos riesgos, los errores se descubren cuando ya hay clientes afectados.

Dónde se aplica

Lugar	Ejemplo
Apps de banca y billeteras	Transferencias, SINPE Móvil, tarjetas virtuales
Salud y seguros	Citas, resultados de laboratorio, recetas
Comercio y entregas	Pagos, direcciones, historial de compras
Apps corporativas	Correo, aprobaciones y acceso remoto a sistemas internos
Dispositivos conectados	Apps que controlan cámaras, cerraduras o vehículos

Conceptos clave

Concepto	Qué significa
APK / IPA	El paquete instalable de una app: Android Package en Android y el archivo .ipa en iOS. Es un archivo comprimido que se puede abrir.
Manifiesto	AndroidManifest.xml: declara permisos, componentes y ajustes de seguridad de la app. En iOS cumple un papel parecido Info.plist.
Sandbox	El aislamiento que da el sistema a cada app: su propia carpeta de datos y su propio usuario.
Backend	Los servidores y APIs con los que habla la app. Ahí deben vivir los secretos y las decisiones de acceso.
Keystore / Keychain	Los almacenes seguros de claves de Android e iOS.
Rooteo / jailbreak	Quitar las restricciones del sistema para tener acceso de administrador en el teléfono.
Análisis estático	Revisar el código o el binario sin ejecutarlo.
Análisis dinámico	Observar la app mientras funciona: tráfico, archivos, registros.