13- Application Debuggable

Si miramos en el manifest

<application
	android:debuggable="true"
</application>

Esto es un problema gordo.

Normalmente, para inyectar frida-server o attachearse a un proceso arbitrario necesitás root. Pero un proceso con debuggable=true puede recibir conexión de debugger/instrumentación sin root, porque Android relaja los permisos ptrace para procesos marcados como debuggable.

Además puede usar run-as para tener acceso shell con el UID de la propia App.

adb shell run-as com.android.insecurebankv2 cat /data/data/com.android.insecurebankv2/shared_prefs/mySharedPreferences.xml

Además cualquiera con acceso adb al dispositivo (físico o vía red si adb-over-wifi está mal configurado) tiene acceso equivalente a "casi root" sobre esa app específica.

Debería estar en false, se suele poner en true cuando compilas con el build type debug o cuando alguien lo pone en false