Instituto de Hidrologia, Meteorologia y Estudios Ambientales
Rama Ejecutiva · Sector ambiente · Establecimiento público
Riesgo alto. Hallazgos de severidad alta principalmente en configuración de seguridad básica (DMARC, CAA, headers). Mantener monitoreo y completar implementación de buenas prácticas básicas (security.txt, DMARC, headers).
Hallazgos (6)
Certificado wildcard cubre 1 dominios en ideam.gov.co
MediaWildcards en SAN: *.ideam.gov.co. Total SAN: 2.
Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.
DNSSEC ausente en ideam.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
IDEAM carga biblioteca JS con 0 CVEs conocidos
MediaEl portal de Instituto de Hidrologia, Meteorologia y Estudios Ambientales carga la biblioteca biblioteca JS que tiene 0 vulnerabilidades conocidas (CVEs).
Bibliotecas JavaScript vulnerables pueden ser explotadas para ataques XSS y robo de sesiones. Sistema de alertas climaticas. Compromiso durante temporada de lluvias podria causar fallas en alertas tempranas. Poblacion afectada: poblacion en zonas de riesgo climatico.
Drupal CHANGELOG.txt accesible en ideam.gov.co
MediaGET https://ideam.gov.co/core/CHANGELOG.txt entrega historial de versiones Drupal.
El CHANGELOG revela versión exacta de Drupal y patches aplicados — facilita matching con CVEs publicadas. Recomendación: bloquear o eliminar de raíz web.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
IDEAM rastrea ciudadanos con servicios de rastreo
MediaEl portal de Instituto de Hidrologia, Meteorologia y Estudios Ambientales carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.
Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Sistema de alertas climaticas. Compromiso durante temporada de lluvias podria causar fallas en alertas tempranas. Poblacion afectada: poblacion en zonas de riesgo climatico.
Activos públicos (1)
ideam.gov.co
portal principal
Server: Apache/2.4.62 (Red Hat Enterprise Linux) OpenSSL/3.5.1
Observado: 2026-04-03