Unidad de Gestion Pensional y Contribuciones Parafiscales
Rama Ejecutiva · Sector hacienda · Unidad administrativa especial
Riesgo bajo aparente. No se detectaron exposiciones críticas en observación pasiva. La entidad mantiene una postura defensiva razonable. Mantener monitoreo y completar implementación de buenas prácticas básicas (security.txt, DMARC, headers).
Hallazgos (6)
Certificado wildcard cubre 1 dominios en ugpp.gov.co
MediaWildcards en SAN: *.ugpp.gov.co. Total SAN: 2.
Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.
DNSSEC ausente en ugpp.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
DNS de ugpp.gov.co totalmente fuera de Colombia
MediaNS records: fattouche.ns.cloudflare.com, robin.ns.cloudflare.com
Toda la zona DNS está bajo proveedores extranjeros — los logs de queries DNS, claves DNSSEC y eventual modificación quedan bajo jurisdicción foránea. Para el Estado, esto debería evaluarse contra Ley 1581/2012.
robots.txt revela 2 ruta(s) sensibles en ugpp.gov.co
MediaDisallow/Allow incluye: /wp-admin/admin-ajax.php, /wp-admin/. robots.txt es publico — los crawlers respetan, los atacantes lo usan como mapa.
robots.txt no impide acceso, solo solicita ignorar a crawlers benignos. Listar paths internos/admin alli es un atajo para enumerar superficie sensible.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
UGPP rastrea ciudadanos con servicios de rastreo
MediaEl portal de Unidad de Gestion Pensional y Contribuciones Parafiscales carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.
Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Datos de aportes pensionales y seguridad social de millones de trabajadores colombianos. Poblacion afectada: ~22 millones de aportantes al sistema de seguridad social.
Activos públicos (1)
ugpp.gov.co
portal principal
Server: cloudflare
Observado: 2026-04-03