Ministerio de Minas y Energia
Rama Ejecutiva · Sector minas_energia · Ministerio
Riesgo alto. Hallazgos de severidad alta principalmente en configuración de seguridad básica (DMARC, CAA, headers). Mantener monitoreo y completar implementación de buenas prácticas básicas (security.txt, DMARC, headers).
Hallazgos (7)
Subdominios sensibles nuevos descubiertos en wordlist extendida (1)
AltaHosts: vpn.minenergia.gov.co
Subdominios con prefijos de no-produccion o de paneles/herramientas internas alcanzables desde DNS publico. Cada uno expande la superficie y suele tener menor hardening que el portal principal.
Certificado wildcard cubre 1 dominios en minenergia.gov.co
MediaWildcards en SAN: *.minenergia.gov.co. Total SAN: 2.
Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.
DNSSEC ausente en minenergia.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
DNS de minenergia.gov.co totalmente fuera de Colombia
MediaNS records: ns-cloud-a1.googledomains.com, ns-cloud-a3.googledomains.com, ns-cloud-a4.googledomains.com, ns-cloud-a2.googledomains.com
Toda la zona DNS está bajo proveedores extranjeros — los logs de queries DNS, claves DNSSEC y eventual modificación quedan bajo jurisdicción foránea. Para el Estado, esto debería evaluarse contra Ley 1581/2012.
MinEnergia carga biblioteca JS con 0 CVEs conocidos
MediaEl portal de Ministerio de Minas y Energia carga la biblioteca biblioteca JS que tiene 0 vulnerabilidades conocidas (CVEs).
Bibliotecas JavaScript vulnerables pueden ser explotadas para ataques XSS y robo de sesiones. Informacion estrategica sobre recursos energeticos y contratos de explotacion. Poblacion afectada: sector energetico y minero.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
MinEnergia rastrea ciudadanos con servicios de rastreo
MediaEl portal de Ministerio de Minas y Energia carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.
Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Informacion estrategica sobre recursos energeticos y contratos de explotacion. Poblacion afectada: sector energetico y minero.
Activos públicos (1)
minenergia.gov.co
portal principal
Observado: 2026-04-03