Superintendencia Financiera de Colombia
Rama Ejecutiva · Sector hacienda · Superintendencia
Riesgo alto. La entidad presenta 5 hallazgos de severidad alta — principalmente configuraciones de email débiles (SPF/DMARC), headers de seguridad incompletos, y posible hosting fuera de territorio nacional. Adicionalmente, 2 de los hallazgos detectados se replican en otras entidades del Estado — el patrón sugiere causa raíz compartida (proveedor común, template institucional o stack heredado). Acción recomendada: publicar registros DMARC con política reject, habilitar HSTS y completar el set de headers de seguridad.
Hallazgos (9)
Certificado SSL no coincidente en el regulador financiero
AltaEl dominio raiz de la Superintendencia Financiera sirve un certificado emitido para *.azureedge.net.
Un regulador financiero con SSL mal configurado socava la confianza del sistema financiero colombiano.
Subdominios sensibles nuevos descubiertos en wordlist extendida (1)
AltaHosts: extranet.superfinanciera.gov.co
Subdominios con prefijos de no-produccion o de paneles/herramientas internas alcanzables desde DNS publico. Cada uno expande la superficie y suele tener menor hardening que el portal principal.
Hallazgo agrupado por similitud semántica (32 findings, 32 entidades)
AltaML clustering identificó 32 findings similares afectando 32 entidades distintas. Categoría dominante: tracking_sin_consentimiento. Severidades: {'alta': 32}. Muestra: ANDJE rastrea ciudadanos con servicios de rastreo | BANCOLDEX rastrea ciudadanos con servicios de rastreo | CNE rastrea ciudadanos con servicios de rastreo.
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
SuperFinanciera rastrea ciudadanos con servicios de rastreo
AltaEl portal de Superintendencia Financiera de Colombia carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.
Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. El regulador financiero de Colombia. Un portal comprometido socava la confianza en todo el sistema financiero. Poblacion afectada: todo el sistema financiero colombiano.
Certificado wildcard cubre 1 dominios en superfinanciera.gov.co
MediaWildcards en SAN: *.azureedge.net. Total SAN: 1.
Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.
DNSSEC ausente en superfinanciera.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
DNS de superfinanciera.gov.co totalmente fuera de Colombia
MediaNS records: ns4-32.azure-dns.info, ns1-32.azure-dns.com, ns3-32.azure-dns.org, ns2-32.azure-dns.net
Toda la zona DNS está bajo proveedores extranjeros — los logs de queries DNS, claves DNSSEC y eventual modificación quedan bajo jurisdicción foránea. Para el Estado, esto debería evaluarse contra Ley 1581/2012.
33 portales no funcionan en su dominio raiz
MediaEl 30% de los portales no responde sin www. Los ciudadanos que escriben dian.gov.co o fiscalia.gov.co obtienen errores.
Problema basico de configuracion DNS solucionable en minutos que afecta la accesibilidad de los servicios del Estado.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
Activos públicos (1)
superfinanciera.gov.co
portal principal
Certificado en dominio raiz para *.azureedge.net (no coincide). www tiene cert EV correcto y 5/8 headers.
Observado: 2026-04-03