Necesita mejora

Defensa Civil Colombiana

Rama Ejecutiva · Sector defensa · Establecimiento público

Resumen ejecutivoRiesgo ALTO

Riesgo alto. Hallazgos de severidad alta principalmente en configuración de seguridad básica (DMARC, CAA, headers). Mantener monitoreo y completar implementación de buenas prácticas básicas (security.txt, DMARC, headers).

Total: 15Altas: 2Medias: 6Sistémicas: 1

Cobertura100

Postura de seguridad55

Divulgación responsable0

Consistencia operativa100

Hallazgos (7)

Hallazgo agrupado por similitud semántica (10 findings, 10 entidades)

Alta

ML clustering identificó 10 findings similares afectando 10 entidades distintas. Categoría dominante: divulgacion_informacion. Severidades: {'alta': 10}. Muestra: URLs de ambiente interno/no-producción referenciadas desde datos.gov.co | URLs de ambiente interno/no-producción referenciadas desde sgc.gov.co | URLs de ambiente interno/no-producción referenciadas desde defensacivil.gov.co.

Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.

Certificado wildcard cubre 1 dominios en defensacivil.gov.co

Media

Wildcards en SAN: *.defensacivil.gov.co. Total SAN: 2.

Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.

DNSSEC ausente en defensacivil.gov.co

Media

No hay registro DS en zona padre.

Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.

DNS de defensacivil.gov.co totalmente fuera de Colombia

Media

NS records: marjory.ns.cloudflare.com, will.ns.cloudflare.com

Toda la zona DNS está bajo proveedores extranjeros — los logs de queries DNS, claves DNSSEC y eventual modificación quedan bajo jurisdicción foránea. Para el Estado, esto debería evaluarse contra Ley 1581/2012.

Defensa Civil carga biblioteca JS con 0 CVEs conocidos

Media

El portal de Defensa Civil Colombiana carga la biblioteca biblioteca JS que tiene 0 vulnerabilidades conocidas (CVEs).

Bibliotecas JavaScript vulnerables pueden ser explotadas para ataques XSS y robo de sesiones. Coordinacion de emergencias y rescate. Poblacion afectada: comunidades afectadas por emergencias.

robots.txt revela 3 ruta(s) sensibles en defensacivil.gov.co

Media

Disallow/Allow incluye: /templates/, /administrator/, /admin/. robots.txt es publico — los crawlers respetan, los atacantes lo usan como mapa.

robots.txt no impide acceso, solo solicita ignorar a crawlers benignos. Listar paths internos/admin alli es un atajo para enumerar superficie sensible.

Defensa Civil rastrea ciudadanos con servicios de rastreo

Media

El portal de Defensa Civil Colombiana carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.

Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Coordinacion de emergencias y rescate. Poblacion afectada: comunidades afectadas por emergencias.

Activos públicos (1)

defensacivil.gov.co

portal principal

2/8

HTTPS

Certificado

HSTS

CSP

X-Frame-Options

X-Content-Type

Referrer-Policy

security.txt

Server: cloudflare

Observado: 2026-04-03