Consejo de Estado
Rama Judicial · Alta corte
Riesgo crítico. Se identificaron 1 hallazgos críticos. Adicionalmente, 3 de los hallazgos detectados se replican en otras entidades del Estado — el patrón sugiere causa raíz compartida (proveedor común, template institucional o stack heredado). Acción recomendada: publicar registros DMARC con política reject, habilitar HSTS y completar el set de headers de seguridad.
Hallazgos (6)
Hallazgo agrupado por similitud semántica (32 findings, 32 entidades)
AltaML clustering identificó 32 findings similares afectando 32 entidades distintas. Categoría dominante: tracking_sin_consentimiento. Severidades: {'alta': 32}. Muestra: ANDJE rastrea ciudadanos con servicios de rastreo | BANCOLDEX rastrea ciudadanos con servicios de rastreo | CNE rastrea ciudadanos con servicios de rastreo.
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
Consejo de Estado rastrea ciudadanos con servicios de rastreo
AltaEl portal de Consejo de Estado carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.
Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. El Consejo de Estado maneja demandas contra el Estado que incluyen datos personales de demandantes y demandados. SAMAI expone estos datos sin autenticacion. Poblacion afectada: ~280,000 personas cuyos datos estan en SAMAI.
Certificado wildcard cubre 1 dominios en consejodeestado.gov.co
MediaWildcards en SAN: *.consejodeestado.gov.co. Total SAN: 2.
Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.
DNSSEC ausente en consejodeestado.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
21 portales divulgan version exacta de software en headers
MediaIncluye nginx 1.14-1.24, Apache 2.4, IIS 7.5-10.0, awselb/2.0. Facilita identificacion de CVEs conocidos.
La divulgacion de version permite a atacantes buscar vulnerabilidades conocidas especificas para ese software.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
Activos públicos (2)
samai.consejodeestado.gov.co
sistema
API BusquedaDictionary expone 140K+ providencias sin autenticacion. Datos personales de actores y demandados accesibles. JWT predecibles.
Observado: 2026-04-03
consejodeestado.gov.co
portal principal
Server: nginx/1.24.0
Cero headers de seguridad. Version completa de nginx divulgada.
Observado: 2026-04-03