Superintendencia de Electricidad RD · Recon Dossier External attack-surface mapping — passive only
python3 -m http.server y ábrelo en http://localhost:8000.
| Dominio | Estado | IP / NS | Tenant M365 | Notas | Fuentes |
|---|---|---|---|---|---|
| sie.gob.do | Activo | 104.18.27.102 · 104.18.26.102 / adelaide+isaac.ns.cloudflare.com | Superintendencia de Electricidad siedo.onmicrosoft.com |
Portal institucional principal · Cloudflare CDN · WordPress 6.9.4 (Astra+Elementor) | site crt.sh |
| sie.gov.do | Activo (paralelo) | 104.21.58.43 · 172.67.200.53 / adelaide+isaac.ns.cloudflare.com (mismo Cloudflare que sie.gob.do) | Mismo tenant SIE (MX a sie-gov-do.mail.protection.outlook.com) |
Dominio paralelo del SIE — comparte Cloudflare y M365 con sie.gob.do · DMARC del dominio principal apunta aquí (rua=operacionesti@sie.gov.do) · Certificados emitidos a apicorreo, mail, ob, portal, sgrapi | crt.sh |
| protecom.gob.do | Vinculado | 104.18.2.151 · 104.18.3.151 / mismo Cloudflare | — | Pro-Consumidor de Electricidad — dependencia del SIE · Comparte gestión técnica (mismos NS y mismo token DocuSign Trust Manager) | site |
| siedigital.gob.do | Referenciado / no resuelve | — | — | Mencionado en la home pública del SIE pero sin DNS al momento del recon | crt.sh |
| Subdominio | Resuelve a | Servicio inferido |
|---|---|---|
| www.sie.gob.do | 104.18.26.102 | Sitio público (Cloudflare) |
| portal.sie.gob.do | 172.177.12.192 (Azure) | SharePoint 2013 + IIS 8.5 — portal interno (EOL OS) |
| autodiscover.sie.gob.do | autodiscover.outlook.com | Microsoft 365 Exchange Autodiscover |
| msoid.sie.gob.do | 104.18.27.102 | Microsoft federation legacy |
| fs.sie.gob.do | 104.18.27.102 | ADFS legacy (namespace ya migrado a Managed) |
| mail.sie.gob.do | 104.18.x.x | Mail relay (Cloudflare) |
| webmail.sie.gob.do | 104.18.x.x | cPanel Webmail (legacy) |
| cpanel.sie.gob.do | 104.18.x.x | cPanel admin (legacy) |
| webdisk.sie.gob.do | 104.18.x.x | cPanel WebDisk |
| apicorreo.sie.gob.do | 13.84.55.137 → apicorreosie.azurewebsites.net | Azure App Service (IIS 10 + jQuery 3.4.1) |
| reclamaciones.sie.gob.do | 13.65.245.147 → qrprotecom.azurewebsites.net | Azure App Service - portal reclamos PROTECOM |
| onbaseapi.sie.gob.do | 52.242.88.31 | OnBase by Hyland — API |
| onbaseapirest.sie.gob.do | 52.242.88.31 | OnBase by Hyland — REST API |
| onbasefive9.sie.gob.do | — (CT) | OnBase ↔ Five9 (centro de contacto) |
| onbasefive9dev.sie.gob.do | 172.203.109.221 (Azure) | OnBase-Five9 — entorno DEV expuesto |
| ob.sie.gob.do | 52.242.88.31 | OnBase shortcut |
| obdir.sie.gob.do | 52.242.88.31 | OnBase Directory (DEV) |
| obdev.sie.gob.do | — (CT) | OnBase entorno DEV expuesto |
| sap.sie.gob.do | 20.119.213.104 (Azure) | SAP — instancia institucional |
| intranetsie.sie.gob.do | 20.119.213.104 | Intranet de empleados |
| mesadeayuda.sie.gob.do | 104.18.26.102 | Help-Desk / ticketing |
| dashboard.sie.gob.do | 20.119.213.104 | Dashboard institucional |
| pes.sie.gob.do | 20.119.213.104 | Sistema PES (probable Planificación) |
| tarifa.sie.gob.do | 20.119.213.104 | Calculador / consulta de tarifas eléctricas |
| audiencia.sie.gob.do | 20.119.213.104 | Sistema de audiencias públicas |
| certificaciones.sie.gob.do | 20.119.213.104 | Emisión de certificaciones |
| pizarra.sie.gob.do | 20.118.56.15 (Azure) | Pizarra de información (PROD) |
| pizarradev.sie.gob.do | — (CT) | Pizarra entorno DEV expuesto |
| nginxtest.sie.gob.do | — (CT) | Endpoint de testing nginx expuesto |
| desarrollo.sie.gob.do | 104.18.27.102 | Entorno de desarrollo expuesto |
| nuevo.sie.gob.do | 104.18.26.102 | Entorno de pruebas / nueva versión expuesto |
| sgrapi.sie.gob.do | — (CT) | API SGR |
| sgrapiqa.sie.gob.do | 104.18.26.102 | SGR API entorno QA expuesto |
| suc.sie.gob.do | 52.242.88.31 | Sistema único de cuentas / consulta |
| sucdes.sie.gob.do | — (CT) | SUC entorno DES expuesto |
| consultatec.sie.gob.do | 52.242.88.31 | Consultas técnicas |
| cte.sie.gob.do | 52.242.88.31 | Comité Técnico Eléctrico |
| psp.sie.gob.do | 52.242.88.31 | PSP (probable Plan Estratégico) |
| regulacion.sie.gob.do | — (CT) | Portal de normativa / reglamentos |
| transparencia.sie.gob.do | 104.18.26.102 | Portal de transparencia (Ley 200-04) |
| foro.sie.gob.do | 104.18.26.102 | Foro institucional |
| encuestas.sie.gob.do | — (CT) | Sistema de encuestas |
| formularioqsf.sie.gob.do | — (CT) | Formulario QSF (¿Quejas, Sugerencias, Felicitaciones?) |
| qrcartacompromiso.sie.gob.do | 104.18.26.102 | QR Carta Compromiso al ciudadano |
| suscripcion.sie.gob.do | — (CT) | Subscripción a boletines (ElasticEmail) |
| desuscripcion.sie.gob.do | — (CT) | Desuscripción a boletines |
| notificaciones.sie.gob.do | — (CT) | Sistema de notificaciones |
| sqs.sie.gob.do | 104.18.26.102 | Sistema de Quejas y Sugerencias (¿AWS SQS?) |
| reclamaciones.sie.gob.do | qrprotecom.azurewebsites.net | Portal de reclamos PROTECOM |
| virtual.sie.gob.do | 137.184.131.82 (Cloudways/DigitalOcean) | Atención virtual — hosted en Cloudways |
| backup.sie.gob.do | 104.18.26.102 | Backup web |
| nginx.sie.gob.do | 104.18.26.102 | Proxy nginx |
| ariae.sie.gob.do | 104.18.26.102 | Asociación Iberoamericana de Reguladores Energéticos (Astacio preside ARIAE) |
| siegovdo.sie.gob.do | — (CT) | Hostname legacy (alusivo a sie.gov.do) |
Entidades del subsector eléctrico dominicano
- SIE — Superintendencia de Electricidad — regulador · sie.gob.do · Cloudflare + M365 + OnBase
- MEM — Ministerio de Energía y Minas · mem.gob.do · Cloudflare + mxrecord.io · DMARC p=reject ✓
- CNE — Comisión Nacional de Energía · cne.gob.do · DNS propio (dticcne.com) · VPS cPanel propio
- OC-SENI — Organismo Coordinador del Sistema Eléctrico Nacional Interconectado · oc.org.do / oc.do · Trend Micro Email Security
- ETED — Empresa de Transmisión Eléctrica Dominicana · eted.gov.do · Azure DNS + Atlassian Cloud
- EDESUR — Distribuidora del Sur · edesur.com.do
- EDENORTE — Distribuidora del Norte · edenorte.com.do · Azure (Apache 2.4.18 EOL)
- EDEESTE — Distribuidora del Este · edeeste.com.do · Azure App Service
- PROTECOM — Pro-Consumidor de Electricidad (parte del SIE) · protecom.gob.do
Liderazgo SIE (público)
- Andrés Enmanuel Astacio Polanco — Superintendente de Electricidad y Presidente del Consejo SIE (Decreto 429-22, ago/2022). Presidente de ARIAE.
- Aura Caraballo — Miembro del Consejo Administrativo SIE
- Sergio Antonio Grullón Estrella — Miembro del Consejo Administrativo SIE
- Marco legal: Ley General de Electricidad 125-01 (26-jul-2001)
| Sede | Ubicación | Notas | Fuentes |
|---|---|---|---|
| Sede Principal SIE | Av. John F. Kennedy No. 3 esq. C/ Erik Leonard Ekman, Arroyo Hondo I, Santo Domingo, RD · CP 10603 | Tel +1 809-683-2500 · L–V 8:30am–4:30pm · email info@sie.gob.do | sie.gob.do |
SharePoint 2013 + IIS 8.5 públicos en portal.sie.gob.do
El subdominio portal.sie.gob.do (172.177.12.192, Azure) corre Microsoft SharePoint 2013 sobre IIS 8.5, con SO marcado EOL por Shodan. InternetDB lista ~88 CVEs históricos asociados al fingerprint, incluyendo CVEs de SharePoint RCE 2022/2023. Soporte oficial de SP2013 finalizó en abril/2023.
Múltiples entornos DEV/QA expuestos públicamente
Endpoints no productivos resueltos a infra pública: obdev, obdir, onbasefive9dev, pizarradev, nginxtest, sgrapiqa, sucdes, desarrollo, nuevo. Amplían superficie de ataque sin propósito operativo público.
CNE (peer en el SENI) corre VPS cPanel completo expuesto
cne.gob.do resuelve a 216.246.113.19, un VPS único vps.dticcne.com con Exim 4.99.1 + cPanel + WHM + Webmail + WebDisk + Autodiscover en una misma IP. Puertos abiertos: 53/110/143/443/465/587/993/995/2082/2083/2086/2087. Comparte cadena de suministro IT con SIE en el ecosistema SENI.
EDENORTE corre Apache 2.4.18 (2015) con 96+ CVEs históricos
edenorte.com.do (40.67.156.117, Azure) ejecuta Apache 2.4.18 sobre Ubuntu, con FTP (puerto 21) abierto, certificado self-signed y un volumen masivo de CVEs reportados por Shodan, incluyendo CVE-2024-38473 / CVE-2024-38476 (RCE) y CVE-2024-40898. Distribuidora notificada por SIE-047-2025-ADM.
Postura DMARC débil — política p=none
El registro DMARC del SIE es v=DMARC1; p=none; rua=mailto:operacionesti@sie.gov.do. La política no enforza (solo monitorea): cualquier actor puede enviar correo aparentando ser @sie.gob.do y los receptores no tienen señal DMARC firme para rechazarlo. Los reportes rua apuntan a un buzón en sie.gov.do (dominio paralelo del propio SIE, también activo). El SIE-047-2025-ADM exige protección de la información: una postura DMARC del propio regulador en p=none contradice el reglamento que el SIE emite — el peer MEM ya está en p=reject, esa es la referencia a replicar.
apicorreo expone IIS 10 + jQuery 3.4.1 vulnerable
apicorreo.sie.gob.do (13.84.55.137) sirve sobre IIS 10 + ASP.NET + Bootstrap 4.3.1 + jQuery 3.4.1. Shodan lista CVE-2020-11022 / CVE-2020-11023 (jQuery XSS) en el fingerprint. Hostname externo ja.org sugiere co-tenancy en un App Service compartido.
OnBase backend con SSH y puertos no estándar abiertos
El servidor OnBase (52.242.88.31) sirve aplicaciones de gestión documental y expone puertos 22 (SSH OpenSSH 9.6p1), 1980 y 1984. Stack: Ubuntu + Nginx + OpenResty. SSH abierto a Internet en infra crítica documental aumenta superficie de credential bruteforce.
Cloudflare anycast expone puertos cPanel históricos (origen real recapturable)
Las IPs Cloudflare 104.18.27.102 / 104.18.26.102 muestran puertos 2052/2082/2083/2086/2087/2095/2096/8080/8443/8880 — perfil cPanel/WHM/Webmail. Sugiere que el origen real detrás de Cloudflare conserva ese stack. Si el origen IP se descubre (vía CT de origen, history DNS, fugas en headers) → bypass directo del WAF.
EDEESTE expone puerto 8085 + Azure App Service identificable
edeeste.com.do (52.254.109.47) sirve sobre 80/443/8085; el SPF revela App Service interno edeestesite.azurewebsites.net. Distribuidora del Este, agente del SENI obligado por SIE-047-2025-ADM.
OC-SENI con vhosts heterogéneos en hosting compartido + VPN expuesta
oc.org.do (186.190.248.119) corre IIS 10 + ASP.NET y aloja simultáneamente apps.oc.org.do, vpn.oc.org.do, www.oc.do, mail.oc.org.do, 186-190-248-119.e-commercepark.com (proveedor co-tenant). VPN gateway expuesto al lado de servicios web no es una segregación recomendable.
Tenant Microsoft 365 expuesto: 4b4314ef-…-e49c4
Tenant ID: 4b4314ef-e271-4a54-861d-8b7f862e49c4 · Brand: "Superintendencia de Electricidad" · Alias: siedo.onmicrosoft.com · NameSpaceType Managed · Region NA. Punto de pivote estándar para enumeración con AADInternals contra usuarios.
fs.sie.gob.do todavía resuelve aunque ADFS ya migró a Managed
El subdominio típico de ADFS (fs.) resuelve sobre Cloudflare, aunque el namespace M365 ya es Managed (cloud-only). Probable artefacto histórico no retirado.
Tres tokens de verificación TXT no atribuidos
El TXT del dominio incluye tokens m7phft2med4qg9pk0hhqf7bfsk, gots0upo45t56b7iq9rqplq44r y fslq1cpbmhimjnupsbrgrinroj. Patrón de longitud 26 — compatibles con Atlassian / Adobe / Slack / Zoom. Pivots para identificar SaaS adicionales.
siedigital.gob.do referenciado pero sin DNS
La home pública del SIE enlaza a siedigital.gob.do pero el dominio no resuelve al momento del recon. Posible portal en pre-lanzamiento o deprecado. Worth re-checking en próximas semanas.
Dos dominios paralelos activos del SIE — sie.gob.do y sie.gov.do
El SIE mantiene dos dominios en producción simultáneamente: sie.gob.do (principal, comunicación pública) y sie.gov.do (paralelo, MX activo en M365 — recibe los reportes DMARC). Ambos comparten infra: mismo NS Cloudflare (adelaide + isaac), mismo tenant M365 detrás. Certificados se emiten a subdominios bajo ambos (apicorreo, mail, ob, portal, sgrapi). La coexistencia duplica la superficie y aumenta el riesgo de confusión / spoofing entre el dominio "oficial" y el "paralelo".
| Vendor | Servicio | Localización / fuente | Riesgo posible |
|---|---|---|---|
| Cloudflare | CDN + DNS + WAF | NS adelaide.ns.cloudflare.com / isaac.ns.cloudflare.com | INFO Origen IP recapturable si fuga |
| Microsoft Azure | Hosting de App Services + IaaS | Múltiples ASNs Microsoft (13.x, 20.x, 52.x, 172.x) | INFO Tenancy compartida con apps de terceros (ja.org) |
| Microsoft 365 | Email + identidad + colaboración | Tenant siedo.onmicrosoft.com | MEDIUM DMARC débil + token MS=ms76156099 expuesto |
| Hyland · OnBase | Gestión documental + workflow ECM | Case study público en hyland.com | MEDIUM SSH expuesto en backend (52.242.88.31) |
| Giga Uno | Master Reseller OnBase RD (probable integrador) | giga.uno | INFO Cadena de implementación local |
| Five9 | Centro de contacto cloud (integrado a OnBase) | onbasefive9.sie.gob.do | MEDIUM Entorno DEV expuesto al público |
| Appian Cloud | BPM / low-code (visto en SPF) | _spf.appiancloud.com | INFO Plataforma adicional con acceso a email |
| DocuSign Trust Manager | Verificación de dominios para firma digital | Token dtm-domain-verification compartido SIE+PROTECOM | INFO Dependencia transversal SIE-PROTECOM |
| ElasticEmail | Mailing masivo / boletines / desuscripción | _spf.elasticemail.com | MEDIUM Reputación de email puede impactar deliverability |
| Site Kit by Google · GTM | Analítica web (WordPress) | www.googletagmanager.com | INFO Tracker IDs como pivots a otros sitios del Estado |
| Yoast SEO Premium | SEO sobre WordPress | Meta generator | INFO Plugin premium versión 22.9 |
| Userway | Accesibilidad web (WCAG) | cdn.userway.org | INFO Cumplimiento de accesibilidad |
| Cloudways (DigitalOcean managed) | Hosting de virtual.sie.gob.do | 947728.cloudwaysapps.com | MEDIUM Infra periférica fuera del control directo Azure/CF |
| Nombre / cuenta | Rol | Correo / referencia | Fuentes |
|---|---|---|---|
| Andrés Enmanuel Astacio Polanco | Superintendente de Electricidad · Presidente del Consejo SIE · Presidente de ARIAE | Web institucional | SIE Pres.RD |
| Aura Caraballo | Miembro del Consejo Administrativo SIE | Web institucional | SIE |
| Sergio Antonio Grullón Estrella | Miembro del Consejo Administrativo SIE | Web institucional | SIE |
| Cuenta de equipo TI (DMARC reporting) | Operaciones TI / buzón de reportes agregados DMARC | operacionesti@sie.gov.do — en dominio paralelo activo | DMARC |
| Información general | Buzón institucional público | info@sie.gob.do | SIE |
Patrón de email inferido
- Buzón institucional: info@sie.gob.do (público)
- Patrón de equipo técnico inferido: operaciones[código]@sie.gob.do — visto el caso real operacionesti@sie.gov.do (dominio paralelo activo), paralelo a OGTIC operacionstc@ogtic.gob.do. Patrón estatal dominicano común.
- Patrón individual probable: primera_inicial.apellido@sie.gob.do o nombre.apellido@sie.gob.do (estándar gobierno RD)
| Identificador | Valor | Uso para pivot |
|---|---|---|
| Tenant ID Azure AD | 4b4314ef-e271-4a54-861d-8b7f862e49c4 | Enumeración de usuarios M365 vía AADInternals · pivot a otros dominios verificados |
| Tenant alias M365 | siedo.onmicrosoft.com | Identificación cross-domain del mismo tenant |
| Microsoft verification | MS=ms76156099 | Confirma propiedad del dominio en M365 |
| Google Workspace verification | google-site-verification=5wKkxvJDMiqQgeet8WoEq-xiPaYsOaplccu_EcPiomU | Posible Google Workspace o Search Console activo |
| DocuSign Trust Manager | dtm-domain-verification=WBHe3uIvgESCX820s8ga3tYx_CWBQvnscIwuxCOdZuQ | Mismo proveedor de firma digital usado por PROTECOM |
| Token desconocido #1 | m7phft2med4qg9pk0hhqf7bfsk | Pendiente atribuir vendor (longitud típica Atlassian/Adobe) |
| Token desconocido #2 | gots0upo45t56b7iq9rqplq44r | Pendiente atribuir vendor |
| Token desconocido #3 | fslq1cpbmhimjnupsbrgrinroj | Pendiente atribuir vendor |
| SPF chain | spf.protection.outlook.com + _spf.elasticemail.com + _spf.appiancloud.com | Identifica proveedores autorizados a enviar email |
| DKIM selectors | selector1, selector2 (M365) | Confirma firma DKIM por M365 |
| WordPress · Yoast | v22.9 | Versión de plugin para CVE matching |
| WordPress · Site Kit Google | v1.177.0 | Versión + propietario Google account |
| Tema Astra Child | astra-child | Customización propia identifable |
Capa técnica
- Resolver los 3 tokens TXT desconocidos (Atlassian / Adobe / Slack / Zoom · web search del valor exacto)
- Re-fetch directo de portal.sie.gob.do para confirmar versión exacta de SharePoint y aplicación expuesta
- Censys Search (gratis con cuenta) para confirmar fingerprints sobre las IPs Azure descubiertas
- URLscan.io para historial de cada subdominio activo (snapshots, headers, recursos cargados)
- Wayback Machine sobre sie.gob.do y sie.gov.do para reconstruir el portal histórico
- Búsqueda en GitHub de tokens DKIM, claves API o filtros de empleados/vendor (dorks: "sie.gob.do" extension:env)
- Identificar el origen IP detrás de Cloudflare (DNS history, certs Let's Encrypt en sub-IPs Azure descubiertas)
- Mapeo completo del ecosistema gob.do/gov.do: distribuidoras EDESUR/EDENORTE/EDEESTE en profundidad
Capa institucional & humana
- Búsqueda LinkedIn dirigida a personal SIE (CIO, Encargado TI, Director de Tecnología)
- Portal Transparencia SIE (declaraciones juradas, contrataciones públicas)
- Portal de Compras y Contrataciones (DGCP) — contratos de TI/ciberseguridad adjudicados al SIE en 2023-2026
- Comité Interinstitucional de Ciberseguridad creado por SIE-047-2025-ADM (Título II Cap. II) — posibles miembros designados públicamente
- Convenios marco con CNCS / CSIRT-RD documentados públicamente
- Andrés Astacio: cobertura mediática y declaraciones sobre ciberseguridad del subsector
- Búsqueda de empleados senior con email en LinkedIn que confirmen patrón primera_inicial.apellido@sie.gob.do
- Cobertura del incidente de ransomware de 2019 en SIE (mencionado en el PDF SIE-047-2025-ADM como antecedente)
DNS & certificados
- crt.sh — sie.gob.doCertificate Transparency logs · 63 entries
- crt.sh — sie.gov.do (legacy)
- MXToolbox — MX/SPF/DMARC
Microsoft 365 enumeration
- getuserrealm.srfFederationBrandName + NameSpaceType
- openid-configurationTenant ID issuer
Inteligencia de IPs
- Shodan InternetDBFree · vulns + ports + cpes por IP
- ipinfo.ioASN + geo + org
Web institucional SIE
Marco normativo / antecedentes
Cobertura institucional & designaciones
Cadena de proveedores tecnológicos
- Hyland · Caso de estudio SIEConfirma OnBase en la nube como plataforma documental
- Giga Uno (Master Reseller OnBase RD)
- Five9 — Capterra RD