Seguridad de kiosk.atlabank.com

[CRITICAL] Puerto 3389 (RDP) ABIERTO: El servicio de escritorio remoto de Windows está expuesto, permitiendo intentos de intrusión directa al servidor.

[CRITICAL] Puerto 3306 (MySQL) ABIERTO: La base de datos está accesible desde internet, lo que facilita ataques de fuerza bruta o explotación de vulnerabilidades en el motor de datos.

[CRITICAL] Puerto 6379 (Redis) ABIERTO: El sistema de caché Redis es visible y suele carecer de autenticación por defecto, permitiendo el robo o manipulación de datos en memoria.

[HIGH] Puerto 21 (FTP) ABIERTO: El protocolo de transferencia de archivos no cifra las credenciales ni los datos, exponiendo información sensible a interceptación.

[HIGH] Content-Security-Policy Faltante: La ausencia de CSP facilita la ejecución de ataques de inyección de contenido y Cross-Site Scripting (XSS).

[HIGH] X-Frame-Options Faltante: El sitio no previene el clickjacking, permitiendo que atacantes carguen la web en marcos invisibles para engañar al usuario.

[HIGH] Strict-Transport-Security Faltante: No se fuerza el uso de HTTPS mediante HSTS, permitiendo ataques de degradación de protocolo (SSL Stripping).

[HIGH] Cookie incap_ses_706_3196947 (HttpOnly): La falta de este flag permite que scripts maliciosos accedan a la cookie de sesión mediante JavaScript.

[HIGH] Cookies sin flag Secure: Tanto visid_incap como incap_ses carecen del flag Secure, enviándose a través de conexiones no cifradas si el usuario es redirigido.

[MEDIUM] X-Content-Type-Options Faltante: El navegador podría interpretar archivos de forma incorrecta, facilitando ataques de tipo MIME-sniffing.

[MEDIUM] Cookies sin flag SameSite: La ausencia de este atributo hace que las cookies de sesión sean vulnerables a ataques de Cross-Site Request Forgery (CSRF).

[MEDIUM] Puerto 8080 (HTTP-Alt) ABIERTO: La presencia de un servidor web alternativo aumenta la superficie de ataque y puede exponer paneles administrativos.

[LOW] Cabeceras de tecnología expuestas: Se revela el uso de Microsoft-IIS/10.0 y ASP.NET, facilitando a los atacantes la búsqueda de exploits específicos para esas versiones.

[LOW] Ausencia de archivos de control: No se detectaron robots.txt ni sitemap.xml, dificultando la gestión adecuada para motores de búsqueda y auditorías.