Resumen Ejecutivo Narrativo
OSINT PASIVO
csirtdefensa.cl es el CSIRT (Computer Security Incident Response Team) de la Defensa Nacional de Chile. El reconocimiento pasivo revela una superficie de ataque contenida pero con exposición significativa: el dominio raíz no resuelve a IP pública (posible medida deliberada de hardening), sin embargo el subdominio ticket.csirtdefensa.cl expone activamente una plataforma de ticketing (framework Laravel/AdminLTE) protegida por Radware WAF (IP 66.22.101.65, São Paulo-BR). El correo organizacional está enrutado vía Proofpoint (mxa/mxb-003cc901.gslb.pphosted.com), con dos MX internos propios (200.111.102.230 - ENTEL Chile; 163.247.67.11 - Min. Interior). Se confirma tenant Microsoft 365 (ID: eb9995b2-9414-4b61-a523-0e834a11772a), modo Managed (no federado). El registro DNS SOA revela email administrativo interno: administrator@csirtdefensa.cl.
gob.cl es el Portal Único del Gobierno de Chile, gestionado por el Ministerio del Interior y Seguridad Pública (ASN 17147). La arquitectura es multi-nube: AWS Global Accelerator en el dominio raíz (IP anycast 76.223.86.196 / 13.248.194.103), Cloudflare como WAF/CDN para www.gob.cl, y múltiples servicios en Amazon CloudFront/EC2. El ecosistema expone servicios críticos como claveUnica.gob.cl (identidad nacional, S3+CloudFront), con backend API en iam-backend.claveunica.gob.cl (AWS Oregon). La CSP de claveUnica revela integración con Google Tag Manager, Google Analytics y MouseFlow. La política DMARC de gob.cl es p=none — no aplicada, riesgo de spoofing. El SPF con -all es estricto, pero sin DMARC enforcement deja la puerta abierta a suplantación de identidad.
Ambas entidades comparten infraestructura en el espacio de IPs 163.247.x.x (ASN 17147 - Ministerio del Interior), sugiriendo una red gubernamental compartida. El ecosistema total abarca 7 proveedores cloud/CDN distintos, aumentando la cadena de suministro digital que debe monitorearse.
MITRE ATT&CK Coverage
TÁCTICA · TÉCNICA
Reconnaissance
T1596 · Búsqueda DNS
T1596.002 · WHOIS/Registros
T1596.003 · Cert Transparency
T1589 · Recolección de emails
T1590 · Footprint de red
Resource Development
T1583 · Adquisición de infra
T1584 · Compromiso de infra
T1587.001 · Malware craft
T1598 · Phishing de info
Initial Access
T1566 · Spearphishing (DMARC weak)
T1190 · Exploit público (ticket)
T1078 · Cuentas válidas M365
T1133 · Acceso externo remoto
Collection
T1213 · Data repositorios
T1114 · Email collection
T1119 · Auto collection
Exfiltration
T1048 · Exfil alt protocol
T1567 · Exfil cloud service
Impact
T1491 · Web defacement
T1498 · DDoS (gov portal)
T1485 · Data destruction
Distribución de Hallazgos
⚠ Por Severidad
CRÍTICO4
ALTO6
MEDIO8
INFO7
🛡 Por WAF/Protección
Cloudflarewww.gob.cl
Radwareticket.csirt
CloudFrontclaveUnica
Sin WAFintranet.gob
☁ Por Cloud Provider
AWS~12 IPs
Cloudflare2 IPs
Gov CL6 IPs
Radware1 IP (BR)
🎯 Por Objetivo
csirtdefensa.clRisk 78
gob.clRisk 65
claveUnica⚠ Nacional
iam-backendAPI exp.
Mapa de Topología de Red
Matriz de Riesgo (Impacto × Probabilidad)
🟢 Bajo
🟡 Medio
🟠 Alto
🔴 Crítico
🔴 Crítica
DMARC p=none
claveUnica API
Phishing Gov ×M
🟠 Alta
ticket CSRF
ticket Laravel
M365 BF
🟡 Media
MX interno exp.
Infra offshore
intranet.gob.cl
🟢 Baja
DNS enum
Tech fingerprint
SaaS tracking
Kill Chain Narrativa
HIPOTÉTICO · PASIVO OSINT
FASE 1
Reconocimiento
crt.sh + DNS brute-force pasivo. Identificar ticket.csirtdefensa.cl. Enumerar MX Proofpoint. Tenant M365.
FASE 2
Weaponización
Spearphishing a @csirtdefensa.cl con dominio typosquat. Aprovechar DMARC p=none de gob.cl para email spoofing masivo.
FASE 3
Entrega
Email malicioso suplantando csirt-defensa.cl (typo). Adjunto con macro / link a landing falsa de M365.
FASE 4
Explotación
Captura credenciales M365 vía adversary-in-the-middle (evilginx2). O: ataque a ticket.csirtdefensa.cl (Laravel CVE conocidos).
FASE 5
Instalación
Persistencia en M365 (OAuth app maliciosa). Movimiento lateral a recursos SharePoint/Teams del CSIRT.
FASE 6
Impacto
Exfiltración de reportes de incidentes. O: DoS del portal gob.cl. Compromiso de claveUnica para identidades ciudadanas.
Nota: Este escenario es hipotético y basado en OSINT pasivo. Los pasos 3-6 no fueron verificados. El objetivo es ilustrar el riesgo potencial para priorizar controles defensivos.
Inteligencia de Brechas y Filtraciones
1017 REGISTROS
04 Jun 2026
Inteligencia de Brechas
1017
Total registros
0
csirtdefensa ✅
7
Funcionarios SAG
38
Clave Única exp.
970
Capturas mevacuno
15+
Portales afectados
100%
Origen: Stealer
10
Emails @gob.cl
📡 Cobertura de Búsqueda — Estrategia Multi-Vector
✅csirtdefensa.cl — 0 registros en dominio + 8 subdominios + origin
🔴domain:gob.cl — 10 emails institucionales comprometidos
🔴origin:gob.cl (stealer) — 1003 registros de infostealer
🔴Subdominios críticos — 15+ portales con evidencia de compromiso
CRÍTICO Resumen Ejecutivo — Exposición de Credenciales
✅ csirtdefensa.cl — SIN EXPOSICIÓN
Todas las consultas (dominio principal + www, mail, intranet, portal, webmail, vpn) retornaron 0 resultados. El CSIRT de Defensa mantiene una higiene digital ejemplar. No hay evidencia de credenciales comprometidas ni de infección por stealer en equipos con acceso a portales del CSIRT. ✅ Referente de buenas prácticas
🔴 gob.cl — EXPOSICIÓN SIGNIFICATIVA
1017 registros totales. Funcionarios SAG con OWA/SSO comprometidos. 38 credenciales Clave Única expuestas. 970 capturas en mevacuno. Afecta SAG, MTT, MINEDUC, SENDA, ISPCH, Interior y Extranjería. ⚠ Requiere acción inmediata
CRÍTICO SAG — Funcionarios con OWA/SSO Comprometido (7 funcionarios · infostealer)
⚠ Múltiples funcionarios del SAG accedieron a
owa.sag.gob.cl y sso.sag.gob.cl desde equipos infectados con infostealer. Compromete correo institucional, SharePoint/Teams, y toda la suite Microsoft 365 del SAG.
👁 Modo visualización:
| Email SAG | Contraseñas capturadas | Portales SAG afectados | Severidad |
|---|---|---|---|
dominiquelatournerie@sag.gob.cl |
•••••••••••• | owa · academia · calidad · ceropapel |
CRIT · OWA |
luis.urrea@sag.gob.cl 4 capturas |
•••••••••••••••••••
••••••••••••••••••••
•••••••••••••••••••••
••••••••
|
owa · ceropapel · sso · appconsultasanciones · enviopostales · msti |
CRIT · REINFECCIÓN |
diego.cruz@sag.gob.cl |
•••••••••• | academia · owa · sag.gob.cl |
CRIT · OWA |
carolina.bonomo@sag.gob.cl |
••••••••• | owa.sag.gob.cl |
CRIT · OWA |
israel.diaz@sag.gob.cl |
•••••••••••••• | sso.sag.gob.cl |
ALTO · SSO |
roberto.rojasg@sag.gob.cl |
•••••••••••• | sso.sag.gob.cl |
ALTO · SSO |
hector.zambrano@sag.gob.cl |
•••••••••••• | sso.sag.gob.cl |
ALTO · SSO |
🔍 Patrón MagnificaIlusi0n+Mes detectado en luis.urrea: Rotación mensual predecible. Base fija + mes. Permite inferir contraseña actual una vez conocida la base. 4 capturas distintas = infección persistente o reinfección múltiple del dispositivo.
CRÍTICO MDM del SAG comprometido — mdm.sag.gob.cl (control de dispositivos corporativos)
⚠ MDM = control total de dispositivos corporativos del SAG. Una credencial comprometida en mdm.sag.gob.cl permite: gestión remota de todos los teléfonos/tablets del SAG, instalación de perfiles de monitoreo, wipe/reset remoto, y potencial acceso a datos corporativos en dispositivos gestionados.
| Sistema | Contraseña capturada | Clasificación | Impacto |
|---|---|---|---|
mdm.sag.gob.cl Mobile Device Mgmt |
•••••• | Diccionario · Trivial | Control total dispositivos SAG |
ALTO Emails Institucionales @gob.cl en Brechas de Terceros (10 registros · MTT, MINEDUC, SENDA)
Búsqueda
domain:gob.cl retorna emails institucionales encontrados en brechas de servicios externos (Evony, iMesh, AdultFriendFinder, ShareThis) y logs de stealer. Evidencia uso de email institucional en servicios personales y reutilización de contraseñas.
| Email institucional | Contraseña | Fuente / Fecha | Tipo |
|---|---|---|---|
info2@gob.cl | •••••••••• | Stealer Logs | Stealer |
info2@gob.cl (variante lowercase) | •••••••••• | Stealer Logs | Stealer |
mtt@gob.cl MTT | •••••••• | Unknown | Brecha · Pass compartida |
mtt.registros@gob.cl MTT | •••••••• | Unknown | Brecha · Pass compartida |
martin3444@gob.cl | ••••••••••• | Stealer Logs | Stealer |
acantillana@gob.cl | •••••• | Evony.com (2016-06) | Brecha antigua |
senda@gob.cl | N/A (hash) | ShareThis.com (2018-07) | Brecha |
agarrido@gob.cl | •••••••• | iMesh.com (2013-09) | Brecha antigua |
mineduc@gob.cl MINEDUC | N/A (hash) | AdultFriendFinder (2016-10) | Brecha · Email en sitio adulto |
⚠ mtt@gob.cl y mtt.registros@gob.cl comparten "aladin14" — contraseña de diccionario reutilizada entre cuenta funcional y de registros del Ministerio de Transportes. Riesgo sistémico de pivote entre cuentas.
CRÍTICO Clave Única del Estado — 38 credenciales ciudadanas expuestas (acceso a +500 servicios del Estado)
🔑 La Clave Única da acceso a: ChileAtiende, SII, COMPIN, FONASA, AFP, Registro Civil, beneficios sociales y +500 servicios públicos. Cada credencial comprometida = riesgo de fraude en prestaciones, modificación de datos personales y suplantación de identidad ante el Estado chileno.
| # | Email ciudadano | Contraseña capturada | Portales comprometidos | Riesgo |
|---|---|---|---|---|
| 1 | constqnzaa@gmail.com | ••••••••••• | accounts.claveunica + mevacuno | CU completa |
| 2 | leyla.oyarzun@gmail.com | ••••••••••• | claveunica + mevacuno | CU completa |
| 3 | claudioxx64@gmail.com | ••••••••• | mevacuno + accounts.claveunica | CU completa |
| 4 | jessicaaquijada83@gmail.com | •••••••••••••••••• | mevacuno + claveunica | CU completa |
| 5 | martinezjavier.arq@gmail.com | •••••••••••••• | mevacuno + accounts.claveunica | CU completa |
| 6 | matiahernandez88@gmail.com | ••••••••••••• | mevacuno + accounts.claveunica | CU completa |
| 7 | gladysmarcano.233@gmail.com | ••••••••••••• | accounts.claveunica + mevacuno | CU completa |
| 8 | cedajuan755@gmail.com | ••••••••• | accounts.claveunica + mevacuno | CU completa |
| 9 | cristian.mendez.p@gmail.com | ••••••••• | mevacuno + app.mevacuno.cl | CU parcial |
| 10 | karinschlie@hotmail.com | ••••••••••••• | accounts.claveunica + mevacuno | CU completa |
| 11 | pedro24allendes@gmail.com | •••••••••• | mevacuno + accounts.claveunica | CU completa |
| 12 | pmonicapalma@gmail.com | •••••••• | claveunica.gob.cl | CU completa |
⋯ 26 registros adicionales · Total: 38 credenciales Clave Única · Filtrar en Base de Inteligencia de Brechas: origin:claveunica.gob.cl | ||||
ALTO Portales Extranjería + Interior — 13 registros (trámites migratorios + control movilidad)
extranjeria.gob.cl — 9 registros
| Contraseña | Portal | |
|---|---|---|
marcos_lm11@hotmail.com | ••••••• | reservahora+ora |
oscartorres_1426@hotmail.com | ••••••••••• | tramites+extranjeria |
jimmyfcolemos@hotmail.com | ••••••••••••• | tramites+extranjeria |
jocacody@gmail.com | •••••••••• | reservahora |
narciliss25@gmail.com | ••••••••• | tramites+extranjeria |
roberivero96morales@gmail.com | •••••••• | tramites+extranjeria |
vicky*@gmail.com | •••••••• | tramites+extranjeria |
interior.gob.cl — 4 registros (cmv.interior.gob.cl)
| Contraseña | |
|---|---|
andy.resa29@gmail.com | •••••••••• |
wilsonfernandezgutierrez@gmail.com | ••••••••••••••••• |
kanny24@gmail.com | ••••••••• |
| N/A | MISSING-PASS |
⚠
cmv.interior.gob.cl = Control de Movilidad del Ministerio del Interior. Maneja datos de movimiento y permisos ciudadanos.
ANÁLISIS Patrones de Contraseñas — 1000 muestras · 80% débiles o medias
Distribución por Fortaleza
| Categoría | N | % | Indicador |
|---|---|---|---|
| Débiles ≤8 chars | 266 | 26% | |
| Medias 9-12 chars | 547 | 54% | |
| Fuertes >12 chars | 187 | 18% | |
| Con especiales | 168 | 16% | |
| Solo dígitos | 65 | 6% | |
| Con mayúscula | 379 | 37% |
Patrones Detectados (click para revelar)
| Patrón | Ejemplos capturados |
|---|---|
| Nombre+año (SAG) | ••••••••••••••••••••••• |
| Nombre propio | ••••••••••••••••••••• |
| Palabra+mes (rotación) | ••••••••••••••••••••• |
| Diccionario simple | ••••••••••••••••••• |
| RUT/número personal | •••••••••••••••• |
| Compleja larga ✅ | ••••••••••••••••• |
⚠ 80% de las contraseñas son débiles o medias. El patrón MagnificaIlusi0n+Mes es predecible una vez conocida la base. Los RUTs como contraseña son especialmente peligrosos en Chile (dato semi-público). Se requiere política de contraseñas mínimo 14 chars + gestor corporativo.
ALTO Vector mevacuno.gob.cl — 970 capturas (97% del total) · Portal COVID como pivot hacia servicios del Estado
📊 El portal de vacunación COVID concentra el 97% de los registros. Durante la campaña 2021-2022, chilenos accedieron desde equipos infectados con infostealer. Los mismos equipos tenían sesiones activas en Clave Única, SAG, Extranjería e ISPCH, convirtiendo mevacuno.gob.cl en un pivot de acceso secundario hacia el Estado.
Distribución por dominio de email (970 registros)
| Dominio | Registros | Barra |
|---|---|---|
| @gmail.com | 830 | |
| @hotmail.com | 82 | |
| @sag.gob.cl | 10 | |
| @outlook.com | 6 | |
| @hotmail.es/cl | 5 | |
| @live.com | 4 | |
| @colegioelboldo.cl | 2 | |
| Otros dominios | 61 |
Portales co-capturados (mismos equipos infectados)
| Portal secundario | Hits | Criticidad |
|---|---|---|
accounts.claveunica.gob.cl | 21 | CRIT |
up.ispch.gob.cl | 13 | HIGH |
tramites.extranjeria.gob.cl | 7 | HIGH |
owa.sag.gob.cl | 5 | CRIT |
sso.sag.gob.cl | 5 | CRIT |
cmv.interior.gob.cl | 4 | HIGH |
www.leylobby.gob.cl | 3 | MED |
reservahora.extranjeria | 3 | MED |
INVENTARIO Tabla Completa — 17 portales gob.cl + estado de compromiso
| Portal / Subdominio | Registros | % total | Estado | Contexto |
|---|---|---|---|---|
mevacuno.gob.cl | 970 | 97% | Comprometido | Portal vacunación COVID — vector principal |
accounts.claveunica.gob.cl | 21 | 2.1% | Comprometido | Identidad nacional |
claveunica.gob.cl | 21 | 2.1% | Comprometido | Identidad nacional |
up.ispch.gob.cl | 13 | 1.3% | Comprometido | ISPCH salud pública |
ca.gob.cl | 9 | 0.9% | Comprometido | — |
tramites.extranjeria.gob.cl | 7 | 0.7% | Evidencia | Trámites migratorios |
extranjeria.gob.cl | 5 | 0.5% | Evidencia | — |
owa.sag.gob.cl | 5 | 0.5% | CRIT · OWA | Correo institucional SAG |
sso.sag.gob.cl | 5 | 0.5% | CRIT · SSO | Acceso unificado SAG |
cmv.interior.gob.cl | 4 | 0.4% | Evidencia | Control Movilidad Interior |
ceropapel.sag.gob.cl | 4 | 0.4% | Evidencia | SAG interno |
reservahora.extranjeria.gob.cl | 3 | 0.3% | Evidencia | — |
enviopostalesdesa.sag.gob.cl | 3 | 0.3% | Evidencia | SAG desarrollo |
www.leylobby.gob.cl | 3 | 0.3% | Evidencia | Transparencia |
ora.extranjeria.gob.cl | 2 | 0.2% | Evidencia | — |
academia.sag.gob.cl | 2 | 0.2% | Evidencia | — |
sra.sag.gob.cl | 2 | 0.2% | Evidencia | — |
csirtdefensa.cl (todos) | 0 | 0% | ✅ Sin exposición | CSIRT Defensa — higiene ejemplar |
Hallazgos OSINT Consolidados
| # | Objetivo | Severidad | Hallazgo | Detalle | Evidencia |
|---|---|---|---|---|---|
| F-01 | gob.cl | CRIT | DMARC no aplicado | v=dmarc1; p=none — cualquier actor puede enviar email @gob.cl sin rechazo. Riesgo nacional de phishing gubernamental masivo. | _dmarc.gob.cl TXT |
| F-02 | claveUnica.gob.cl | CRIT | Backend API expuesto | iam-backend.claveunica.gob.cl resuelve a 3 IPs AWS públicas (54.201.19.46 / 44.253.118.133 / 100.22.53.225). Endpoint de identidad nacional visible en CSP. | CSP header + DNS A |
| F-03 | csirtdefensa.cl | CRIT | Sistema tickets expuesto offshore | ticket.csirtdefensa.cl hospedado en Radware (São Paulo, Brasil - AS25773). El sistema de reporte de incidentes del CSIRT de defensa está en infraestructura extranjera privada. | ipinfo.io + HTTP title |
| F-04 | csirtdefensa.cl | CRIT | Admin email expuesto en SOA | SOA revela: administrator@csirtdefensa.cl como email de zona DNS. Objetivo válido para spearphishing / credential stuffing M365. | dig SOA csirtdefensa.cl |
| F-05 | csirtdefensa.cl | HIGH | Microsoft 365 Tenant confirmado | Tenant ID eb9995b2-9414-4b61-a523-0e834a11772a. NameSpaceType: Managed. Superficie de ataque para password spray, OAuth abuse, adversary-in-the-middle. | OpenID Config + GetUserRealm |
| F-06 | gob.cl | HIGH | intranet.gob.cl sin WAF conocido | 163.247.175.147 / 163.247.172.147 — IPs gubernamentales propias sin evidencia de WAF frontal. Acceso directo a intranet gubernamental. | DNS A + ipinfo.io |
| F-07 | gob.cl | HIGH | Múltiples proveedores cloud sin política visible | AWS, Cloudflare, CloudFront, Orbyta SA (200.91.46.97) para diferentes subservicios. Fragmentación de responsabilidad de seguridad. chile.gob.cl en Orbyta SA (proveedor local). | ipinfo.io multi-IP |
| F-08 | csirtdefensa.cl | HIGH | Laravel AdminLTE en ticket system | Stack identificado: Laravel (PHP), AdminLTE, icheck-bootstrap, DataTables 1.10.19, SweetAlert2, DateRangePicker. CVEs potenciales según versión de Laravel deployada. | HTML source ticket.csirtdefensa.cl |
| F-09 | gob.cl | HIGH | MS=BAF48BBE token expuesto | TXT record csirtdefensa.cl incluye token de verificación Microsoft: MS=BAF48BBED50CD1F28BE483779073529D056C51D0. Confirma dominio vinculado a tenant M365. | dig TXT csirtdefensa.cl |
| F-10 | claveUnica.gob.cl | HIGH | MouseFlow analytics en identidad nacional | CSP permite cdn.mouseflow.com y *.mouseflow.com en connect-src. MouseFlow registra sesiones (posible grabación de interacciones en plataforma de autenticación ciudadana). | CSP header claveunica.gob.cl |
| F-11 | csirtdefensa.cl | MED | MX internos accesibles | 200.111.102.230 (ENTEL Chile) y 163.247.67.11 (Min. Interior) configurados como MX de respaldo internos en SPF. IPs directas de servidores de correo. | SPF record + ipinfo.io |
| F-12 | gob.cl | MED | unsafe-inline en CSP claveUnica | script-src y style-src incluyen 'unsafe-inline'. Debilita la protección XSS de la plataforma de identidad nacional. Riesgo de inyección de scripts. | CSP header |
| F-13 | gob.cl | MED | X-Cache error en claveUnica | Header x-cache: Error from cloudfront + age: 71489s. Posible desincronización de caché. El front-end puede estar sirviendo versión desactualizada. | HTTP headers claveunica.gob.cl |
| F-14 | gob.cl | MED | sii.gob.cl en red separada | AS15208 (Servicio de Impuestos Internos) — infraestructura completamente independiente del ASN 17147 principal. Superficie de ataque separada para entidad tributaria nacional. | ipinfo.io 200.10.251.221 |
Tabla de Dominios
| Dominio | IP(s) | ASN / Org | WAF | Notas |
|---|---|---|---|---|
| csirtdefensa.cl | — | — | Sin A | Dominio raíz sin IP pública (posible hardening) |
| gob.cl | 76.223.86.196 / 13.248.194.103 | AS16509 Amazon | AWS GAcc | Global Accelerator anycast |
| www.gob.cl | 104.21.11.171 / 172.67.166.176 | AS13335 Cloudflare | Cloudflare | CDN + WAF Cloudflare |
| ticket.csirtdefensa.cl | 66.22.101.65 | AS25773 Radware / São Paulo BR | Radware | Sistema de reporte incidentes — offshore |
| claveunica.gob.cl | 13.226.251.x (×4) | AS16509 Amazon CloudFront | CloudFront | Identidad nacional — S3+CF |
| iam-backend.claveunica.gob.cl | 54.201.19.46 / 44.253.118.133 / 100.22.53.225 | AS16509 AWS Oregon | Sin WAF | API backend identidad — CRÍTICO |
| api.claveunica.gob.cl | 54.69.65.150 / 44.226.77.165 / 16.144.172.134 | AS16509 AWS | Unknown | API endpoint adicional |
| intranet.gob.cl | 163.247.175.147 / 163.247.172.147 | AS17147 Min. Interior CL | Sin WAF | Intranet gubernamental directa |
| digital.gob.cl | 16.146.238.69 / 34.208.117.176 / 44.238.255.162 | AS16509 AWS | Unknown | División digital gubernamental |
| sii.gob.cl | 200.10.251.221 / 200.10.252.221 | AS15208 SII Chile | Unknown | Servicio de Impuestos Internos — ASN propio |
| chile.gob.cl | 200.91.46.97 | AS262237 Orbyta SA · Santiago | Unknown | Proveedor local privado |
| chileatiende.gob.cl | 3.211.160.157 (y más) | AS14618 Amazon | AWS | Portal ciudadano servicios |
| tramites.gob.cl | 52.32.101.104 (y más) | AS16509 AWS Oregon | AWS | Trámites en línea |
| datos.gob.cl | 34.211.62.107 (y más) | AS16509 AWS | AWS | Portal datos abiertos |
| ips.gob.cl | 18.154.101.x (×4) | AS16509 CloudFront | CloudFront | Instituto de Previsión Social |
Subdominios Descubiertos
🔴 ticket.csirtdefensa.cl
IP: 66.22.101.65 · Radware WAF · São Paulo BR
App: Laravel/AdminLTE · Ticketing system CSIRT defensa
Offshore · CRIT
App: Laravel/AdminLTE · Ticketing system CSIRT defensa
Offshore · CRIT
🟠 iam-backend.claveunica.gob.cl
IPs: 54.201.19.46 / 44.253.118.133 / 100.22.53.225
AWS Oregon · Backend API identidad nacional
Sin WAF · 3 IPs exp.
AWS Oregon · Backend API identidad nacional
Sin WAF · 3 IPs exp.
🟠 api.claveunica.gob.cl
IPs: 54.69.65.150 / 44.226.77.165 / 16.144.172.134
AWS · API endpoint adicional claveUnica
API expuesta
AWS · API endpoint adicional claveUnica
API expuesta
🟠 intranet.gob.cl
IPs: 163.247.175.147 / 163.247.172.147
ASN17147 · Min. Interior · Sin WAF identificado
Intranet directa
ASN17147 · Min. Interior · Sin WAF identificado
Intranet directa
🟡 mail.gob.cl
IP: 163.247.70.70 · ASN17147 Min. Interior
Servidor de correo gubernamental propio
MX interno
Servidor de correo gubernamental propio
MX interno
🟡 chile.gob.cl
IP: 200.91.46.97 · Orbyta SA (proveedor local privado)
Portal identidad chilena — proveedor externo
Proveedor privado
Portal identidad chilena — proveedor externo
Proveedor privado
🔵 claveunica.gob.cl
IPs: 13.226.251.x (×4) · CloudFront
Identidad nacional · S3 + CloudFront
Alta criticidad nacional
Identidad nacional · S3 + CloudFront
Alta criticidad nacional
🔵 www.gob.cl
IPs: 104.21.11.171 / 172.67.166.176 · Cloudflare
Portal principal · CDN+WAF Cloudflare
CF protegido
Portal principal · CDN+WAF Cloudflare
CF protegido
🔵 digital.gob.cl
IPs: 16.146.238.69 / 34.208.117.176 / 44.238.255.162
División de Gobierno Digital · AWS
503 en recon
División de Gobierno Digital · AWS
503 en recon
🔵 tramites.gob.cl
IPs: 52.32.101.104 / 52.38.193.11 / 44.225.30.235
Trámites en línea · AWS Oregon
AWS
Trámites en línea · AWS Oregon
AWS
🔵 datos.gob.cl
IPs: 34.211.62.107 / 44.246.67.89 / 54.68.182.103
Portal datos abiertos gobierno · AWS
AWS
Portal datos abiertos gobierno · AWS
AWS
🔵 sii.gob.cl
IPs: 200.10.251.221 / 200.10.252.221
AS15208 · Red propia SII Chile · Alta criticidad tributaria
ASN propio
AS15208 · Red propia SII Chile · Alta criticidad tributaria
ASN propio
🔵 chileatiende.gob.cl
IPs: 3.211.160.157 / 52.54.134.10 / 34.231.49.216
Portal servicios ciudadanos · AWS US-East
AWS
Portal servicios ciudadanos · AWS US-East
AWS
🔵 ips.gob.cl
IPs: 18.154.101.x (×4) · CloudFront
Instituto de Previsión Social · AWS
CloudFront
Instituto de Previsión Social · AWS
CloudFront
🔵 ns.gob.cl / ns2 / ns6 / ns7
163.247.54.111 / 163.247.75.25 / etc.
Servidores DNS autoritativos propios
DNS infra
Servidores DNS autoritativos propios
DNS infra
Geographic Footprint
Distribución de Infraestructura
🇨🇱 Santiago, Chile
AS17147 Min. Interior · AS15208 SII · AS27651 ENTEL Chile · AS262237 Orbyta
IPs: 163.247.x.x / 200.10.x / 200.111.x / 200.91.x
Datacenter local
IPs: 163.247.x.x / 200.10.x / 200.111.x / 200.91.x
Datacenter local
🇺🇸 Oregon/US-West-2 (AWS)
iam-backend.claveunica.gob.cl · api.claveunica.gob.cl · tramites.gob.cl · datos.gob.cl
Datos sensibles US
Datos sensibles US
🇺🇸 US-East / Ashburn (AWS)
chileatiende.gob.cl · ips.gob.cl (CloudFront)
ClaveUnica frontend (13.226.251.x)
Multi-región CF
ClaveUnica frontend (13.226.251.x)
Multi-región CF
🇧🇷 São Paulo, Brasil (Radware)
ticket.csirtdefensa.cl → 66.22.101.65 AS25773 RADWARE INC.
Sistema de incidentes CSIRT en nodo extranjero privado
Offshore · CRÍTICO
Sistema de incidentes CSIRT en nodo extranjero privado
Offshore · CRÍTICO
🌐 Global (Cloudflare)
www.gob.cl → Cloudflare anycast global
Proofpoint MX → 66.159.241.119 / 66.159.239.92
Anycast global
Proofpoint MX → 66.159.241.119 / 66.159.239.92
Anycast global
Resumen ASN
| ASN | Organización | País | IPs |
|---|---|---|---|
AS17147 | Min. Interior y Seg. Pública - Gobierno CL | 🇨🇱 CL | 6 |
AS16509 | Amazon.com Inc. (AWS) | 🇺🇸 US | ~12 |
AS13335 | Cloudflare Inc. | 🌐 Global | 2 |
AS27651 | ENTEL Chile S.A. | 🇨🇱 CL | 2 |
AS15208 | Servicio Impuestos Internos | 🇨🇱 CL | 2 |
AS25773 | Radware Inc. | 🇧🇷 BR | 1 |
AS262237 | Orbyta S.A. | 🇨🇱 CL | 1 |
AS14618 | Amazon.com Inc. (EC2) | 🇺🇸 US | 3 |
Tabla de IPs e Infraestructura
| IP | Dominio | ASN · Org | Ciudad | Rol |
|---|---|---|---|---|
66.22.101.65 | ticket.csirtdefensa.cl | AS25773 · Radware | São Paulo, BR 🇧🇷 | Ticketing offshore |
200.111.102.230 | mx-01.csirtdefensa.cl | AS27651 · ENTEL Chile | Santiago, CL 🇨🇱 | MX interno CSIRT |
163.247.67.11 | mx-02.csirtdefensa.cl | AS17147 · Min. Interior | Santiago, CL 🇨🇱 | MX interno CSIRT |
200.111.102.231 | ns01.csirtdefensa.cl | AS27651 · ENTEL Chile | Santiago, CL 🇨🇱 | DNS NS primario |
163.247.67.15 | ns02.csirtdefensa.cl | AS17147 · Min. Interior | Santiago, CL 🇨🇱 | DNS NS secundario |
76.223.86.196 | gob.cl (anycast) | AS16509 · Amazon | Seattle, US 🇺🇸 | AWS Global Accelerator |
13.248.194.103 | gob.cl (anycast) | AS16509 · Amazon | Seattle, US 🇺🇸 | AWS Global Accelerator |
104.21.11.171 | www.gob.cl | AS13335 · Cloudflare | San Francisco 🌐 | Cloudflare WAF/CDN |
172.67.166.176 | www.gob.cl | AS13335 · Cloudflare | San Francisco 🌐 | Cloudflare WAF/CDN |
163.247.70.70 | mail.gob.cl | AS17147 · Min. Interior | Santiago, CL 🇨🇱 | Mail server gov |
163.247.175.147 | intranet.gob.cl | AS17147 · Min. Interior | Santiago, CL 🇨🇱 | Intranet directa |
13.226.251.x | claveunica.gob.cl | AS16509 · CloudFront | US (anycast) 🌐 | Identidad nacional frontend |
54.201.19.46 | iam-backend.claveunica | AS16509 · AWS Oregon | Boardman, US 🇺🇸 | IAM API backend |
200.10.251.221 | sii.gob.cl | AS15208 · SII Chile | Santiago, CL 🇨🇱 | Impuestos internos |
200.91.46.97 | chile.gob.cl | AS262237 · Orbyta SA | Santiago, CL 🇨🇱 | Proveedor local privado |
66.159.241.119 | mxa.pphosted.com | — · Proofpoint | US 🇺🇸 | MX relay CSIRT (Proofpoint) |
Estructura Corporativa / Institucional
Entidad 1: CSIRT de la Defensa Nacional
Dominio: csirtdefensa.cl
Tipo: Organismo Público · Defensa Nacional Chile
Tenant M365: eb9995b2-9414-4b61-a523-0e834a11772a
Email admin: administrator@csirtdefensa.cl
NS primario: ns01.csirtdefensa.cl (ENTEL)
NS secundario: ns02.csirtdefensa.cl (Min. Interior)
MX: Proofpoint + 2 MX internos
DMARC: p=reject ✓ (bien configurado)
Sistema tickets: ticket.csirtdefensa.cl (OFFSHORE)
Entidad 2: Portal Único Gobierno de Chile
Dominio: gob.cl
Gestor: Ministerio del Interior y Seguridad Pública
ASN principal: AS17147 (163.247.x.x)
NS: a.nic.cl + b.nic.cl + ns*.gob.cl
SPF: v=spf1 -all (estricto)
DMARC: p=none ⚠ (NO aplicado)
Servicios: claveUnica · tramites · datos · sii · ips · digital
Cloud: AWS + Cloudflare + CloudFront + Orbyta
Tenant M365: No detectado (dominio gob.cl)
Proveedores IT Identificados
Proofpoint
Email Security · MX relay CSIRT
Amazon AWS
Multi-servicio · Oregon + US-East
Cloudflare
CDN + WAF · www.gob.cl
Radware
WAF + DDoS · ticket system offshore
Microsoft 365
Email + Colaboración · CSIRT
Google Analytics + GTM
Analytics · claveUnica.gob.cl
MouseFlow
Session recording · claveUnica ⚠
ENTEL Chile
ISP · NS01 + MX1 CSIRT
Orbyta SA
Hosting local privado · chile.gob.cl
AdminLTE + Laravel
Framework web · ticket.csirtdefensa.cl
Identificadores Técnicos
| Tipo | Valor | Objetivo | Relevancia |
|---|---|---|---|
| M365 Tenant ID | eb9995b2-9414-4b61-a523-0e834a11772a | csirtdefensa.cl | Phishing / BF target |
| MS Verification Token | MS=BAF48BBED50CD1F28BE483779073529D056C51D0 | csirtdefensa.cl | Confirma tenant M365 |
| Proofpoint account ID | 003cc901 (mxa/mxb-003cc901.gslb.pphosted.com) | csirtdefensa.cl | ID cuenta Proofpoint |
| SOA Admin Email | administrator@csirtdefensa.cl | csirtdefensa.cl | Spearphishing target |
| CSRF Token (sample) | dJ1N24Jv0kRtuolKgMfiyBWtMMxqZDozODGBCpJ3 | ticket.csirtdefensa.cl | Token rotativo (sin valor persistente) |
| Google Tag Manager | www.googletagmanager.com | claveunica.gob.cl | Analytics tracking nacional |
| MouseFlow tracker | cdn.mouseflow.com | claveunica.gob.cl | Session recording auth |
| AES256 encryption | x-amz-server-side-encryption: AES256 | claveunica.gob.cl (S3) | Cifrado en reposo confirmado |
| CloudFront ID | zwU7asF__hser-35Jiszy5J3Uit9XxS8_VZINSbzAb... | claveunica.gob.cl | CF distribution ID |
| Cookie anti-bot | __uzma (Uzol/BotManager) en ticket system | ticket.csirtdefensa.cl | Anti-bot fingerprinting |
Roadmap de Remediación
⚡ 0-7 días · URGENTE
Acciones inmediatas
Escalar DMARC gob.cl de p=none a p=quarantine mínimo
Revisar MouseFlow en claveUnica — ¿graba sesiones de auth?
Auditar acceso a iam-backend.claveunica.gob.cl — restringir a IPs conocidas
Verificar versión de Laravel en ticket.csirtdefensa.cl — CVEs pendientes
📅 30 días · ALTO
Mejoras de corto plazo
Migrar ticket.csirtdefensa.cl a infraestructura nacional o zona confiable
Implementar MFA obligatorio en M365 (tenant csirtdefensa.cl)
Agregar WAF explícito frente a intranet.gob.cl
Evaluar reemplazar unsafe-inline en CSP de claveUnica
📅 60 días · MEDIO
Mejoras estructurales
Subir DMARC gob.cl a p=reject con monitoreo rua
Política de proveedores cloud — centralizar en AWS Chile region u on-prem
Implementar BIMI en csirtdefensa.cl (ya tiene DMARC p=reject)
Auditar contratos con Orbyta SA para chile.gob.cl (SLA, seguridad)
📅 90 días · ESTRATÉGICO
Madurez y sostenibilidad
Revisión arquitectura multi-nube gob.cl — política de soberanía de datos
Implementar monitoreo continuo de subdominios (CT logs)
Programa de hunting de typosquats gubernamentales
Revisión anual de proveedores IT externos con nivel de riesgo
Threat Intel Pivots
🎯 Pivot: Tenant M365 csirtdefensa.cl
Tenant ID confirmado. Pivotar a: AADInternals (enumeración usuarios), MSOLSpray (password spray), Evilginx2 (adversary-in-middle). Objetivo: credenciales M365 del CSIRT de Defensa.
🎯 Pivot: DMARC p=none gob.cl
Spoofing de @gob.cl posible. Pivotar a: campañas de phishing a ciudadanos chilenos. GOBFake como typosquat potencial: g0b.cl, gob-cl.com, gobchile.cl, etc.
🔍 Pivot: 003cc901 Proofpoint
Account ID de Proofpoint identificado. Buscar en logs de campañas de phishing conocidas si este account ID aparece como relay origin. Fuentes: URLhaus, PhishTank.
🔍 Pivot: ASN 17147
Red gubernamental 163.247.x.x — buscar CVEs públicos, Shodan queries: org:"Ministerio del Interior" country:CL. Posibles sistemas expuestos en red Gov CL.
🔍 Pivot: Laravel/AdminLTE
Stack identificado en ticket.csirtdefensa.cl. Buscar CVEs Laravel según versión. Comprobar rutas públicas Laravel: /storage, /.env, /api/user, /telescope.
🔍 Pivot: Radware AS25773
Otros clientes en mismo bloque IP de Radware (São Paulo). Revisar si hay vecinos sensibles compartiendo infraestructura. Fuentes: Shodan ASN lookup.
📧 Pivot: administrator@csirtdefensa.cl
Email administrativo expuesto. Verificar en HIBP/DeHashed si este email aparece en breaches conocidos. No incluir plaintext de passwords.
🏢 Pivot: Orbyta SA
Proveedor privado local hospedando chile.gob.cl. Investigar contratos públicos (Mercado Público CL), historial de seguridad, si tienen otros clientes gubernamentales.
Fuentes Consultadas
🌐 DNS Pasivo
dig / nslookup · Python dnspython 2.7
Registros: A, AAAA, MX, NS, TXT, SOA, CNAME, DMARC, DKIM
Fuente: Resolución DNS pública
Registros: A, AAAA, MX, NS, TXT, SOA, CNAME, DMARC, DKIM
Fuente: Resolución DNS pública
🔍 Certificate Transparency
crt.sh (timeout en esta sesión)
RapidDNS (no consultado — red restringida)
Alternativa: securitytrails.com
RapidDNS (no consultado — red restringida)
Alternativa: securitytrails.com
🏢 IP Intelligence
ipinfo.io/API (sin auth)
PTR records via socket.gethostbyaddr()
ASN lookup para 16 IPs clave
PTR records via socket.gethostbyaddr()
ASN lookup para 16 IPs clave
☁ Cloud Tenant
login.microsoftonline.com/openid-configuration
login.microsoftonline.com/getuserrealm.srf
Tenant M365 confirmado csirtdefensa.cl
login.microsoftonline.com/getuserrealm.srf
Tenant M365 confirmado csirtdefensa.cl
🌐 HTTP Headers
urllib.request Python — fetch pasivo
ticket.csirtdefensa.cl · claveunica.gob.cl
CSP, Set-Cookie, X-Frame-Options analizados
ticket.csirtdefensa.cl · claveunica.gob.cl
CSP, Set-Cookie, X-Frame-Options analizados
🔗 HTML Source Analysis
ticket.csirtdefensa.cl (12.5KB)
Fingerprint: Laravel + AdminLTE + DataTables
icheck-bootstrap + SweetAlert2 + DateRangePicker
Fingerprint: Laravel + AdminLTE + DataTables
icheck-bootstrap + SweetAlert2 + DateRangePicker
🔑 MS365 Enumeration
GetUserRealm.srf endpoint
OpenID Connect discovery
Tenant ID + NameSpaceType extraídos
OpenID Connect discovery
Tenant ID + NameSpaceType extraídos
⚠ No consultadas (red)
Shodan InternetDB (bloqueado)
crt.sh (timeout)
RapidDNS (timeout)
HIBP (no consultado)
crt.sh (timeout)
RapidDNS (timeout)
HIBP (no consultado)
Metodología: 100% reconocimiento pasivo. No se realizó escaneo de puertos, brute-force de credenciales, ni acceso a recursos no públicos. Todas las fuentes son acceso abierto. El presente informe tiene carácter defensivo y de concienciación de seguridad. TLP:AMBER — distribución interna solamente.
Q-Mission ForceGen 2.0
OSINT Unit
OSINT Unit
csirtdefensa.cl + gob.cl
Gobierno de Chile · Reconocimiento Pasivo
Gobierno de Chile · Reconocimiento Pasivo