Instituto Colombiano para la Evaluacion de la Educacion
Rama Ejecutiva · Sector educacion · Establecimiento público
Riesgo medio. Hallazgos de severidad alta principalmente en configuración de seguridad básica (DMARC, CAA, headers). Mantener monitoreo y completar implementación de buenas prácticas básicas (security.txt, DMARC, headers).
Hallazgos (8)
Certificado SSL invalido en 12 entidades adicionales
AltaADR, ICETEX, ANLA, ICFES, ICA, DANE, ANDJE, ARN, INDUMIL, Banco Agrario, Policia Nacional y Armada presentan SSL invalido.
Un total de 17 portales del Estado tienen SSL que genera advertencias de seguridad en navegadores.
DNSSEC ausente en icfes.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
DNS de icfes.gov.co totalmente fuera de Colombia
MediaNS records: ns-1276.awsdns-31.org, ns-956.awsdns-55.net, ns-1835.awsdns-37.co.uk, ns-156.awsdns-19.com
Toda la zona DNS está bajo proveedores extranjeros — los logs de queries DNS, claves DNSSEC y eventual modificación quedan bajo jurisdicción foránea. Para el Estado, esto debería evaluarse contra Ley 1581/2012.
33 portales no funcionan en su dominio raiz
MediaEl 30% de los portales no responde sin www. Los ciudadanos que escriben dian.gov.co o fiscalia.gov.co obtienen errores.
Problema basico de configuracion DNS solucionable en minutos que afecta la accesibilidad de los servicios del Estado.
CORS mal configurado en Instituto Colombiano para la Evaluacion de la Educacion
MediaEl portal de Instituto Colombiano para la Evaluacion de la Educacion acepta solicitudes CORS desde cualquier origen, permitiendo exfiltracion de datos desde navegadores de terceros.
CORS permisivo permite a sitios maliciosos realizar peticiones autenticadas a nombre del usuario. Resultados academicos individualizados de millones de estudiantes con implicaciones en admision universitaria y becas. Poblacion afectada: ~600,000 estudiantes que presentan Saber 11 anualmente.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
ICFES rastrea ciudadanos con servicios de rastreo
MediaEl portal de Instituto Colombiano para la Evaluacion de la Educacion carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.
Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Resultados academicos individualizados de millones de estudiantes con implicaciones en admision universitaria y becas. Poblacion afectada: ~600,000 estudiantes que presentan Saber 11 anualmente.
XML-RPC habilitado en Instituto Colombiano para la Evaluacion de la Educacion
MediaEl endpoint xmlrpc.php esta habilitado en Instituto Colombiano para la Evaluacion de la Educacion. Puede usarse para ataques de fuerza bruta amplificados.
XML-RPC permite intentos de autenticacion masivos en una sola peticion, facilitando ataques de fuerza bruta.
Activos públicos (1)
icfes.gov.co
portal principal
Server: Apache
Observado: 2026-04-03