Hay un servicio web basado en REST que no tiene autenticación ni autorización alguna; cualquier persona que sepa una URL de un método particular de este servicio web puede usarla.
Sin embargo, las URL de los métodos no están expuestas al público (por ejemplo, no hay documentación pública que enumere los métodos de API, ni nada de eso). El único lugar desde el que se accede al servicio web es desde una aplicación de Android que, obviamente, necesita conocer las URL para utilizar el servicio web (están codificadas). La aplicación no se publica en ninguna tienda de aplicaciones públicas y solo se distribuye internamente.
¿Hay alguna manera de que un atacante potencial acceda al servicio web fuera de la aplicación de Android? Por supuesto, una forma obvia sería obtener la aplicación, descompilarla y descubrir cuáles son las URL; ¿Hay alguna otra forma realista excepto eso?
El servicio web en cuestión realmente existe. En este momento, solo tengo la sensación de que toda la configuración es una receta para el desastre. Necesito algunos ejemplos particulares para poder convencer a mi jefe de que realmente necesitamos mejorar la situación de alguna manera.