Auditoria General de la Republica
Organismos de Control · Órgano de control
Riesgo crítico. La entidad acumula 5 hallazgos críticos verificados. La superficie de ataque concurrente sugiere falta de auditoría reciente y configuraciones por defecto sin endurecer. Mantener monitoreo y completar implementación de buenas prácticas básicas (security.txt, DMARC, headers).
Hallazgos (5)
Certificado wildcard cubre 1 dominios en auditoria.gov.co
MediaWildcards en SAN: *.auditoria.gov.co. Total SAN: 1.
Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.
DNSSEC ausente en auditoria.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
Referencias a localhost/IP privada en bundle del portal auditoria.gov.co
MediaURLs encontradas: http://localhost
Aunque localhost no es un riesgo directo en producción, indica build poco depurado — posible que otras strings sensibles también hayan quedado.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
Auditoria General rastrea ciudadanos con servicios de rastreo
MediaEl portal de Auditoria General de la Republica carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.
Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Auditoria a la Contraloria. Poblacion afectada: Contraloria General.
Activos públicos (1)
auditoria.gov.co
portal principal
Observado: 2026-04-03