Malware insertado, licencias saltadas, apps imitadoras con tu marca fuera de tu control.

Con el código modificado, un atacante puede desactivar controles de seguridad y validación, saltarse restricciones de licencia, insertar malware o cambiar qué anuncios o requisitos de compra se muestran. El resultado suele tomar alguna de estas formas: una versión pirateada sin controles de licencia, una versión parcheada con malware que roba contraseñas, o directamente una aplicación imitadora publicada en una tienda pública todas circulando con tu marca, pero fuera de tu control.

Credenciales integradas, cifrado ausente, cadenas sensibles — relevante para HIPAA, PCI, FISMA.

Analizar el código fuente puede exponer credenciales integradas, la forma (o ausencia) de cifrado de datos, y cadenas de texto sensibles. Esto no es un riesgo abstracto: normativas como HIPAA, PCI o FISMA parten de la base de que los datos no pueden gestionarse de forma efectiva sin controlar los sistemas que los crean y distribuyen. Entender el funcionamiento interno de una app es, muchas veces, el primer paso para acceder a datos que deberían estar protegidos.

En un dispositivo rooteado o con jailbreak, sin tocar el código.

En comprometido (con jailbreak o rooteado), es posible interceptar la comunicación de una aplicación sin necesidad de tocar su código. Por eso vale la pena que la app pueda detectar si corre en un entorno así, y reaccionar: avisar al servidor, mostrar una advertencia, exigir autenticación adicional o, en casos extremos, negarse a ejecutarse.

Inyección SQL, XSS con el código a la vista, ya no es ensayo y error.

Vulnerabilidades clásicas como la inyección SQL o el cross-site scripting no requieren acceso al código para descubrirse, pero tenerlo cambia las reglas del juego. En vez de ensayo y error, el atacante puede examinar el código directamente y encontrar fallas que nadie pensó en probar, para después explotarlas.