Against a backdrop of recurring data-exposure incidents affecting Colombian public, financial and health organizations, UTECH ran an attack-surface assessment of the country's five largest municipal governments. Findings included insufficient hardening, missing or misconfigured HTTP controls, weak cryptographic configurations and signs of outdated components, with high-severity and at least one critical finding. No technical detail, proof-of-concept or exploit is published; only the count, severity and type of exposure. Affected entities are not named and may request their full report at no cost under responsible disclosure.
En lo que va de 2026, Colombia ha seguido apareciendo en incidentes y publicaciones relacionadas con exposición de datos, fuga de información y superficies de ataque mal gestionadas en entidades del sector financiero, salud, servicios y sector público. Con ese contexto, decidimos hacer un ejercicio de análisis de vulnerabilidades sobre las cinco alcaldías más grandes del país (como primera fase de un ejercicio que incluye también las cinco gobernaciones y las cinco clínicas más grandes).
En los hallazgos aparecieron debilidades asociadas a:
También aparecieron hallazgos de severidad alta y, en al menos un caso, hallazgos críticos, lo que ya habla de una superficie de exposición preocupante para entidades que manejan información y servicios sensibles para millones de ciudadanos.
No publicamos detalles técnicos, PoCs ni nada que pueda servir para facilitar ataques. Lo que sí mostramos es la cantidad de hallazgos, su criticidad y el tipo de exposición encontrado. Si alguna de las entidades evaluadas quiere recibir su reporte completo con los hallazgos identificados, se lo compartimos sin costo, de forma responsable y confidencial.
Los hallazgos de superficie de ataque se presentan sin identificar a la entidad. El ejercicio se realizó sobre información y servicios expuestos a internet, con fines de visibilidad y concientización.